escapando dentro de la etiqueta html Valor del atributo

Question

Tengo problemas para entender cómo funciona el escape dentro de los valores de los atributos de la etiqueta html que son javascript. .

me llevan a creer que siempre se debe escapar & ' "<> Así que para javascript como valor de atributo Traté:

<a href="javascript:alert(&apos;Hello&apos;);"></a> 

No funciona Sin embargo:.

<a href="javascript:alert(&#39;Hello&#39;);"></a> 

y

<a href="javascript:alert('Hello');"></a> 

funciona en todos los navegadores!

Ahora estoy totalmente confundido. Si todos mis valores de atributo están entre comillas dobles, ¿significa esto que no tengo que escapar de comillas simples? ¿O son apos y ascii 39 personajes técnicamente diferentes? Tal que javascript requiere ascii 39, pero no apos?

Answer 1

Hay dos tipos de "escapes" implicados aquí, HTML y JavaScript. Al interpretar un documento HTML, los escapes de HTML se analizan primero.

En lo que se considera HTML, las reglas dentro de un valor de atributo son los mismos que en otros lugares además de una regla adicional:

• El carácter menos-que < debe escaparon. Por lo general, < se usa para esto. Técnicamente, dependiendo de la versión HTML, escaparse no siempre es necesario, pero siempre ha sido una buena práctica.
• Se debe escapar el ampersand &. Usualmente se usa & para esto. Esto, también, no siempre es obligatorio, pero es más fácil hacerlo siempre que aprender y recordar cuando es necesario.
• El carácter que se utiliza como delimitadores alrededor del valor del atributo debe ser escapado dentro de él. Si utiliza las comillas de Ascii " como delimitador, se acostumbra a escapar de sus ocurrencias usando " mientras que para el apóstrofo Ascii, la referencia de entidad ' se define solo en algunas versiones HTML, por lo que es más seguro usar la referencia numérica ' (o ').

Puede escapar > (o cualquier otro carácter de datos) si lo desea, pero nunca es necesario.

En el lado de JavaScript, hay algunos mecanismos de escape (con \) en literales de cadena. Pero estos son un problema diferente, y no son relevantes en su caso.

En su ejemplo, en un navegador que cumpla con las especificaciones actuales, el intérprete de JavaScript ve exactamente el mismo código alert('Hello');.El navegador ha "guardado" ' o ' en '. Me sorprendió un poco que ' no sea universalmente compatible en estos días, pero no es un problema: rara vez hay necesidad de escapar del apóstrofo Ascii en HTML (solo es necesario escaparse dentro de los valores de los atributos y solo si usa el apóstrofo Ascii como su delimitador), y cuando existe, puede usar la referencia '.

Answer 2

Tiene razón en que no tiene que escapar de comillas simples si su etiqueta está entre comillas dobles. Cuando codigo javascript en etiquetas (lo cual ya es raro con jQuery) el único carácter que escapo es la comilla doble, los navegadores manejan el resto muy bien.

Answer 3

' no es un HTML reference entity válido. Debe escapar usando '