首页 >社区问答列表 >混合编程时,关于php传值给js的问题

混合编程时,关于php传值给js的问题

1.代码示例

<?php
    $std = new stdClass();    $std->one = "what's wrong";?><script type="text/javascript">
    var jsTest = <?php echo json_encode($std); ?>;   //写法1
    //var jsTest = JSON.parse('<?php echo json_encode($std); ?>'); //写法2</script>

2.问题描述
在以上的代码中,变量jsTest实际上已经是一个对象了。但由于php的json_encode输出的是一个json字符串,正常写法应该是我注释掉的写法2,但是由于对象$std中的一个属性是带有单引号的,所以写法2中,无论JSON.parse中使用单双引号解析,都会报错
(1)问题1:写法1中,是由于js内核解析的原因导致php输出的json字符串实际上被强制转换成了js能解析的对象的吗
(2)问题2:如果js脚本中要正常得到对象$std,除开写法1还有其它的写法吗


  • 面对疾风吧
  • 面对疾风吧    2016-11-10 17:27:261楼

    PHP在里输出数据给JS表达式时,为了避免恶意构造破坏JS表达式,建议在JSON编码时将特殊字符(尖括号,单引号,双引号,&)转为Unicode字符后输出.

    ', // "\u003Cscript\u003Ealert()\u003C\/script\u003E"
        '\u003cimg src=1 onerror=alert(/xss/)\u003e', // "\\u003cimg src=1 onerror=alert(\/xss\/)\\u003e"
        '\x3Cimg src=1 onerror=alert(/xss/)\x3E', // "\\x3Cimg src=1 onerror=alert(\/xss\/)\\x3E");?>var json = ;
    


    +0添加回复

  • 回复