Question

ScriptManager.RegisterStartupScript(page, 
    page.GetType(),
    "KEY",
    "updateDockTitle('" + ClientID + "', '" + string.Format(format, ChartName, "No Data To Display") + "');".Replace("-", "\\-"),
    true);

ChartName能够包含特殊字符（例如某人的图表）。如果允许，这会导致错误，代码在不期望它时会遇到'。

处理这种情况的正确方法是什么？我是否需要知道可能导致问题的所有字符并将其替换为转出版本？

Answer 1

我发现这个全面的解决方案很方便：

private static readonly Regex scriptTagRegex = new Regex(
    "script", RegexOptions.IgnoreCase | RegexOptions.Multiline);

/// <summary>
///     Processes the provided string, creating a quoted JavaScript string literal.
/// </summary>
/// <param name="str">The string to process</param>
/// <returns>A string containing a quoted JavaScript string literal</returns>
public static string JavaScriptStringLiteral(string str)
{
    var sb = new StringBuilder();
    sb.Append("\"");
    foreach (char c in str)
    {
        switch (c)
        {
            case '\"':
                sb.Append("\\\"");
                break;
            case '\\':
                sb.Append("\\\\");
                break;
            case '\b':
                sb.Append("\\b");
                break;
            case '\f':
                sb.Append("\\f");
                break;
            case '\n':
                sb.Append("\\n");
                break;
            case '\r':
                sb.Append("\\r");
                break;
            case '\t':
                sb.Append("\\t");
                break;
            default:
                int i = (int)c;
                if (i < 32 || i > 127)
                {
                    sb.AppendFormat("\\u{0:X04}", i);
                }
                else
                {
                    sb.Append(c);
                }
                break;
        }
    }
    sb.Append("\"");

    // If a Javascript tag contains "</script>", then it terminates a
    // script block.  Start by replacing each 's'/'S' with an escape
    // sequence so it doesn't trigger this.
    return scriptTagRegex.Replace(
        sb.ToString(),
        m => (m.Value[0] == 's' ? "\\u0073" : "\\u0053") + m.Value.Substring(1));
}

它应该替换所有无效的JS字符，并确保如果您的脚本是内联的（在您的情况下将是这样），没有破损。请注意，它已经为字符串文字生成了引号，因此如果您决定使用它，请记住这一点。

Answer 2

重点是'为你的Javascript字符串转义'。你需要使用\来转义该角色，使其成为\'

所以你的代码变成了

ScriptManager.RegisterStartupScript(page, page.GetType()
       , "KEY", "updateDockTitle('" + ClientID + "', '" 
                                    + string.Format(format, ChartName.Replace("'", "\'")
                                               , "No Data To Display") 
                                    + "');".Replace("-", "\\-"), true);

修改的

我认为您的代码是错误的，即

部分

');".Replace("-", "\\-")

没用。我会将您的代码更改为

ScriptManager.RegisterStartupScript(page, page.GetType()
       , "KEY", string.Format("updateDockTitle('{0}', '{1}');"
                             , ClientID 
                             , string.Format(format
                                             , ChartName.Replace("'", "\'").Replace("-", "\\-")
                                             , "No Data To Display")
                             )
       , true);

但问题是，为什么你需要.Replace("-", "\\-")？

从RegisterStartupScript中转义字符的正确方法

2 个答案: