在 html 标签属性值内转义

Question

我无法理解在 javascript 的 html 标记属性值中如何进行转义。

我被引导相信你应该总是逃避 & ' " 。所以我尝试将 javascript 作为属性值：

<a href="javascript:alert(&apos;Hello&apos;);"></a>

它不起作用。然而：

<a href="javascript:alert(&#39;Hello&#39;);"></a>

和

<a href="javascript:alert('Hello');"></a>

适用于所有浏览器！

现在我完全糊涂了。如果我所有的属性值都用双引号括起来，这是否意味着我不必转义单引号？还是 apos 和 ascii 39 在技术上是不同的字符？这样javascript需要ascii 39，而不是apos？

Answer 1

这里涉及到两种类型的“转义”，HTML 和 JavaScript。解释 HTML 文档时，首先解析 HTML 转义。

就 HTML 而言，属性值中的规则与其他地方相同，再加上一条附加规则：

• 小于字符< 应该被转义。通常< 用于此目的。从技术上讲，根据 HTML 版本，并不总是需要转义，但它一直是很好的做法。
• & 符号& 应该被转义。通常& 用于此目的。这也并非总是强制性的，但总是比在需要时学习和记住要简单。
• 用作属性值周围分隔符的字符必须在其中进行转义。如果您使用 Ascii 引号 " 作为分隔符，通常使用 " 转义其出现，而对于 Ascii 撇号，实体引用 ' 仅在某些 HTML 版本中定义，因此使用它最安全数字引用 '（或 '）。

您可以根据需要转义>（或任何其他数据字符），但从不需要。

在 JavaScript 方面，字符串文字中有一些转义机制（使用\）。但这是一个不同的问题，与您的情况无关。

在您的示例中，在符合当前规范的浏览器上，JavaScript 解释器看到完全相同的代码 alert('Hello');。浏览器“未转义”' 或 ' 到 '。我有点惊讶' 这些天没有得到普遍支持，但这不是问题：很少需要在 HTML 中转义 Ascii 撇号（转义仅在属性值内需要并且仅当您使用 Ascii撇号作为其分隔符），如果有，您可以使用' 引用。

Answer 2

' 不是有效的HTML reference entity。您应该使用' 转义