我怎样才能确保字符串是否干净以插入javascript警报('错误消息')

Question

我试图使用javascript警告弹出窗口向网页用户显示错误,我目前有以下代码来清除错误字符串:

errorMessage.Replace("'", "\'")

但这还不够,因为一些非法字符没有被删除,框架中的某个地方是否有静态方法将格式化我的字符串以便干净地插入到html中？

更新:我最初的问题有点含糊不清.字符串需要在alert中有效('这是一些不会弹出的'非法文本'); 我将尝试Server.HtmlEncode,希望它能做到这一点.

Answer 1

如果您查看Web Protection Library中的AntiXSS模块,您会发现它有一种JavaScriptEncode(string)方法可用于此类事情.

Answer 2

您希望避免 XSS 漏洞，这很好。以下备忘单应该可以帮助您（并且还包含对转义字符串的代码的引用）：