我有一个HTML标签,
$FOO
变量将填充任意HTML和JavaScript内容,以便在textarea中显示和编辑.什么样的"逃避"我要申请$ FOO?
我首先想要逃避HTML,但这不起作用(因为我将显示不是$ FOO的原始HTML代码,而是转义的内容.这当然不是我想要的:我希望显示未转义的HTML/JS变量的内容......
是否无法在标记中显示HTML内容并允许其作为完整HTML进行编辑?
谢谢jens
我首先想要逃避HTML
恩,那就对了.a 的内容与a
或a之类的任何其他元素的内容没有区别
:如果你想在其中放入一些文本,你必须将HTML中的任何一个
<
或&
字符分别转义为<
和&
.
浏览器确实倾向于在s中给出更多的故障标记余地,因为无效的非转义
<
符号的后备是将它们呈现为文本而不是标记,但这并不会使它更加错误或危险(对于XSS).
但这没用
请发布您所做的不起作用的内容.HTML转义绝对是正确的.