Kısmi oluşturmadan önce neden escape_javascript?

Bu Railscast bölümüne bakıyorum ve escape_javascriptburada neden çağrının gerekli olduğunu merak ediyorum :

$("#reviews").append("<%= escape_javascript(render(:partial => @review)) %>");

Ne için escape_javascriptkullanılır?

Göre Raylar docs :

escape_javascript (JavaScript)

Kaçış taşıyıcı dönüşleri ve JavaScript segmentleri için tek ve çift tırnak işaretleri.

Ama bu benim için pek bir şey ifade etmiyor.

Kullanıcıların tarayıcının gerçekten yürüttüğü JavaScript göndermesini istemediğiniz için mi?

Kodu ikiye bölerseniz anlamak daha kolay.

İlk bölüm $("#reviews").append("<%= ... %>"); , erb içeren javascript. Bu, <%= ... %>içindeki ruby ​​kodunun döndürdüğü şeyle değiştirileceği anlamına gelir . Bu değiştirmenin sonucu geçerli bir javascript olmalıdır, aksi takdirde istemci bunu işlemeye çalıştığında bir hata verir. İlk şey bu: geçerli bir javascript'e ihtiyacınız var .

Dikkate alınması gereken başka bir şey de Ruby'nin ürettiği her şeyin çift tırnaklı bir javascript dizgesinin içinde bulunması gerektiğidir - <%= ... %>. Bu, oluşturulan javascript'in şöyle görüneceği anlamına gelir:

$("#reviews").append("...");

Şimdi de içindeki yakut kısmını inceleyelim <%= ... %>. Nedirrender(:partial => @review) ? Bu, kısmi bir işlem yapıyor - yani her tür kodu - html, css ... veya hatta daha fazla javascript - işliyor olabilir!

Öyleyse, kısmımız bunun gibi bazı basit html içeriyorsa ne olur?

<a href="/mycontroller/myaction">Action!</a> 

JavaScript'inizin parametre olarak çift tırnaklı bir dizge aldığını hatırlıyor musunuz? Basitçe <%= ... %>bu kısmın kodunu değiştirirsek , o zaman bir sorunla karşılaşırız - href=çift ​​tırnaktan hemen sonra ! JavaScript geçerli olmayacak:

// Without escaping, you get a broken javascript string at href
$("#reviews").append("<a href="/mycontroller/myaction">Action!</a>");

Bunun olmaması için, bu özel karakterlerden kaçmak istersiniz, böylece dizeniz kesilmez - bunun yerine bunu üreten bir şeye ihtiyacınız vardır:

<a href=\"/mycontroller/myaction\">Action!</a>

Bu ne escape_javascriptyapar. Döndürülen dizenin javascript'i "kırmamasını" sağlar. Kullanırsanız, istediğiniz çıktıyı alırsınız:

$("#reviews").append("<a href=\"/mycontroller/myaction\">Action!</a>")

Saygılarımızla!

Kullanıcılar, kaçılmadan bırakıldığında potansiyel olarak yürütülecek ve kullanıcıların uygulamanızı kontrol etmesine olanak tanıyan kötü amaçlı kod (kötü niyetli kullanıcılar) gönderebilirler.

bunu dene:

<% variable = '"); alert("hi there' %>
$("#reviews").append("<%= variable %>");

rayların sözdizimine gerçekten aşina değilsiniz, ancak kaçmazsanız, variablebir uyarı kutusu gösterilecek ve bunun amaçlanan davranış olduğunu sanmıyorum.

Buradaki kaynağa bakarsan çok daha net olacaktır.

Bu işlev aşağıdaki iki şeyi gerçekleştirir:

1. Giriş dizesindeki karakterleri şurada tanımlananlarla değiştirir: JS_ESCAPE_MAP'de

   Bunun amacı, javascript kodunun gömülü olduğu dış dizeye müdahale etmeden doğru şekilde serileştirildiğinden emin olmaktır. Örneğin, çift tırnak içinde bir javascript dizeniz varsa, kodun bozulmasını önlemek için dize değişmezleri için içindeki tüm tırnak işaretleri tek tırnak içinde olmalıdır.

2. İşlev, sonuçta elde edilen dizenin html güvenli olup olmadığını da kontrol eder. Değilse, dizenin html güvenli hale geldiğinden ve sonucu döndürdüğünden emin olmak için gerekli kaçışı yapar.

Escape_javascript kullandığınızda, genellikle dinamik olarak başka bir dizeye veya mevcut html'ye gömülür. Bunu yapmanın tüm sayfanızın işlenmesini engellemeyeceğinden emin olmanız gerekir.

Bu yanıtın bazı yönleri diğer yanıtlarda belirtildi, ancak tüm öğeleri bir araya getirmek istedim, javascript kaçışı ile html kaçışı arasındaki farkı da dahil etmek istedim. Ayrıca, bazı yanıtlar bu işlevin komut dosyası yerleştirmekten kaçınmaya yardımcı olduğunu ima eder. Bu işlevin amacının bu olduğunu sanmıyorum. Örneğin, incelemenizde eğer incelemenizde uyarı varsa ('merhaba'), onu düğüme eklemek pop-up'ı tetiklemeyecektir. Bunu, sayfa yüklemede veya başka bir olayda tetiklenen bir işlevin içine yerleştirmiyorsunuz. Html'nizin bir parçası olarak yalnızca uyarı ('merhaba') olması, javascript olarak çalışacağı anlamına gelmez.

Bununla birlikte, komut dosyası yerleştirmenin mümkün olmadığını inkar etmiyorum. Ancak bunu önlemek için kullanıcı verilerini alırken ve veri tabanınızda saklarken adımlar atmanız gerekir. Sağladığınız işlev ve örnek, önceden kaydedilmiş olan bilgilerin işlenmesi ile ilgilidir.

Umarım bu yardımcı olur ve sorunuzu yanıtlar.