为什么在渲染属性时需要转义 < 和 &？

Question

我正在阅读HtmlAttributeEncode 的文档，据我了解，它旨在用于呈现作为属性出现在双引号内的 HTML 时，例如

<INPUT Value="This value must be escaped so that it doesn't contain any quotes">

据我所知，我唯一需要转义的字符就是双引号。浏览器应该能够找出该字符串中的其他所有内容都属于该属性。

那么，为什么文档会这样说呢？

HtmlAttributeEncode 方法仅将引号 (")、与号 (&) 和左尖括号 (

事实上它确实逃脱了那些，正如this poor guy所见。

在这种情况下是否有任何理由转义

用我的肉眼，我可以很容易地看到在这个字符序列中分隔的开始和结束位置：

<INPUT value="You & I can both easily see that 5 < 6!">

只要双引号序列正确关闭（并且双引号被转义），我不明白为什么其他字符必须进行 HTML 编码。

Answer 1

根据规格：

3.2.3.1 Attributes

除非另有说明，HTML 元素的属性可以有任何字符串值，包括空字符串。除非明确说明，对这些属性中可以指定的文本没有任何限制。

根据specs of html4，value属性的内容应该是cdata的类型。

来自HTML Document Representation：

5.3.2 字符实体引用

四个字符实体引用值得特别提及，因为它们经常用于转义特殊字符：

“<”代表 “>”代表 > 符号。
“&”代表&符号。
“"”代表“标记”。

希望在文本中添加“&lt;”（ASCII 十进制 60）以避免可能与标记开头（开始标记打开分隔符）混淆。同样，作者应该在文本中使用“>”（ASCII 十进制 62）而不是“>”，以避免旧用户代理在出现在引用属性中时错误地将其视为标签结尾（标签关闭分隔符）的问题价值观。

作者应使用“&”（ASCII 十进制 38）而不是“&”以避免与字符引用的开头混淆（实体引用打开分隔符）。 作者还应该在属性值中使用“&”，因为在 CDATA 属性值中允许字符引用。