在Javascript中使用ESAPI处理HTML和Javascript编码的数据

Question

例如，

var data = $ESAPI.encoder().canonicalize(serverOP); 

element.innerHTML=data;

但是使用混合或多重编码规范数据会引发异常（入侵异常）。

Answer 1

在这种情况下，服务器首先中和HTML，然后中和要传递给javascript函数的数据。

您所针对的javascript函数是否应该处理HTML？

如果先为HTML编码，然后再为javascript编码，则需要调用esapi.encoder().decodeforJavaScript(payload)后跟esapi.encoder().decodeforhtml(payload)

规范化是用来处理来自不可信源的数据，而不是一站式解码功能。

此外，如果您知道您的javascript函数是该数据的唯一入口点，您就不必转义为html，只需转义为javascript...我这样说是因为“innerhtml”表明您打算让浏览器呈现您发送的内容，所以您在这里添加了一个不必要的解码步骤，从而做了额外的工作。

我想补充一点：如果服务器正在传递要传递给javascript的转义数据，那么在使用它之前您不想对其进行解码。