将一个PHP字符串传递给一个JavaScript变量(并转义换行)

将PHP字符串编码输出到JavaScript变量的最简单方法是什么?

我有一个PHP字符串，其中包括引号和换行。我需要将这个字符串的内容放入一个JavaScript变量中。

通常，我只会在一个PHP文件中构造我的JavaScript， à la:

<script>
  var myvar = "<?php echo $myVarValue;?>";
</script>

但是，当$myVarValue包含引号或换行符时，这就不起作用了。

当前回答

不要通过addslashes()运行它;如果你在HTML页面的上下文中，HTML解析器仍然可以看到</script>标签，甚至在字符串中间，并假设它是JavaScript的结束:

<?php
    $value = 'XXX</script><script>alert(document.cookie);</script>';
?>

<script type="text/javascript">
    var foo = <?= json_encode($value) ?>; // Use this
    var foo = '<?= addslashes($value) ?>'; // Avoid, allows XSS!
</script>

2012-10-19 09:50:12

其他回答

不要通过addslashes()运行它;如果你在HTML页面的上下文中，HTML解析器仍然可以看到</script>标签，甚至在字符串中间，并假设它是JavaScript的结束:

<?php
    $value = 'XXX</script><script>alert(document.cookie);</script>';
?>

<script type="text/javascript">
    var foo = <?= json_encode($value) ?>; // Use this
    var foo = '<?= addslashes($value) ?>'; // Avoid, allows XSS!
</script>

2012-10-19 09:50:12

你可以试试

<script type="text/javascript">
    myvar = unescape('<?=rawurlencode($myvar)?>');
</script>

2008-10-03 18:50:19

function escapeJavaScriptText($string)
{
    return str_replace("\n", '\n', str_replace('"', '\"', addcslashes(str_replace("\r", '', (string)$string), "\0..\37'\\")));
}

2008-10-03 18:38:29

我曾经遇到过类似的问题，我认为以下是最好的解决方案:

<script>
    var myvar = decodeURIComponent("<?php echo rawurlencode($myVarValue); ?>");
</script>

然而，micahwittman发布的链接表明存在一些小的编码差异。PHP的rawurlencode()函数应该符合RFC 1738，而Javascript的decodeURIComponent()似乎没有这样的努力。

2009-01-14 13:33:39

扩展别人的回答:

<script>
  var myvar = <?php echo json_encode($myVarValue); ?>;
</script>

使用json_encode()需要:

PHP 5.2.0或更高版本 $myVarValue编码为UTF-8(当然也可以是US-ASCII)

由于UTF-8支持完整的Unicode，因此动态转换应该是安全的。

注意，因为json_encode转义正斜杠，即使包含</script>的字符串也会被安全转义，以便使用脚本块打印。

2008-10-03 21:49:08

将一个PHP字符串传递给一个JavaScript变量(并转义换行)

推荐文章

最新文章

标签