为什么需要在html中转义字符串？

Question

好吧，我知道“正确的”转义将有助于防止SQL注入。

但是我看到人们转义HTML中的值

<input type="text" value =/"some/" /> <!-- some escaped, why? -->

问题是:为什么要在HTML中转义？

Answer 1

<input type="text" value =/"some/" /> <!-- some escaped, why? -->

这是一个语法错误。别干那事。

使用character references表示特殊字符(&、<等)。

为什么要在

中转义？

(假设您使用了正确的语法)：因为某些字符在HTML中有特殊的含义。例如，您不希望" (在数据中)过早结束属性值，因为这可能：

• Lose
• Lose但将其显示在页面中
• 允许第三方inject their JavaScript into your pages并窃取数据/将用户重定向到网络钓鱼网站/等