HTML: <textarea> -Tag: come eseguire correttamente l'escape del contenuto HTML e JavaScript visualizzato?

Question

Ho un tag HTML <textarea>$FOO</textarea> e la variabile $FOO verrà riempita con contenuti HTML e JavaScript arbitrari, da visualizzare e modificare all'interno dell'area di testo. Che tipo di "fuga" devo applicare a $ FOO?

Per prima cosa ho cercato di evitarlo HTML ma questo non ha funzionato (come verrà mostrato non il codice HTML originale di $ FOO ma piuttosto il contenuto di escape. Questo ovviamente non è quello che voglio: voglio essere visualizzato l'escape HTML/JS contenuto della variabile ...

e 'impossibile visualizzare il contenuto HTML all'interno di un tag <textarea> ed inoltre permettono di essere modificabile come HTML completo?

grazie jens

Answer 1

ho tought di scampo HTML

Sì, è vero. I contenuti di un <textarea> non sono diversi dai contenuti di altri elementi come <span> o <p>: se si desidera inserire del testo all'interno, è necessario eseguire l'escape HTML di qualsiasi < o & caratteri rispettivamente a < e &.

browser tendono a dare più margine di manovra con il markup guasto <textarea> s, in quanto il fallback per invalidi escape < simboli è quello di rendere loro come testo invece di tag, ma che non per questo è meno sbagliato o pericoloso (per XSS).

ma questo non funzionava

Si prega di inviare quello che hai fatto che non ha funzionato. L'escape dell'HTML è sicuramente la cosa giusta.

Answer 2

è è necessario sostituire il carattere speciale di HTML con character references (eit i suoi riferimenti di carattere numerico o riferimenti di entità), in textarea, almeno &, < e >.