在前端开发中，我们常常需要将用户输入的内容或从后端获取的数据转义为安全的字符串。这些字符串可能包含特殊字符，如引号、小于号和大于号等，在渲染到HTML页面时会导致XSS攻击。
JavaScript提供了一些内置函数来转义这些特殊字符，本文将详细介绍这些函数，并提供示例代码以帮助您更好地理解和应用它们。
转义函数
1. escape()
escape() 函数可以将字符串中的非ASCII字符和某些特殊字符（如单引号、双引号、反斜杠等）转义为十六进制表示。但是该函数已经被废弃，因为它不能正确处理Unicode字符。所以我们不推荐使用它。
----- --- - ---- - ------ ---- -------- -------- --- ------- ---------- ----- ---------- - ------------ ------------------------ -- ----------------------------------------------------------------------------------
2. encodeURI()
encodeURI() 函数可以对整个URL进行编码，将非英文字母数字和某些特殊字符（如冒号、斜杠、问号、井号等）转义为它们的十六进制表示。
----- --- - --------------------------------------------------------- ----------------------- ----- ---------- - --------------- ------------------------ -- --------------------------------------------------------------------------------
3. encodeURIComponent()
encodeURIComponent() 函数可以对URL中的查询字符串参数进行编码，将非英文字母数字和某些特殊字符（如冒号、斜杠、问号、井号等）转义为它们的十六进制表示。
----- ------ - - -- ------------- --------- ---- ------------- -- ----- ----------- - ---------------------- ----------- ------- -- ---------------------------------------------------------- ----------- ----- --- - ---------------------------------------------------------- ----------------- -- --------------------------------------------------------------------------------
4. DOMPurify.sanitize()
DOMPurify.sanitize() 函数是一个第三方库（DOMPurify），它提供了一种安全地将HTML代码插入到文档中的方法。该函数将过滤不安全的标记、属性和样式，并将标记和属性值进行转义。
----- ---- - --------------------------------------- ------------ ----- ------------- - ------------------------- --------------------------- -- --------- ----------
总结
在前端开发中，转义字符串是一项必不可少的任务，这有助于防止XSS攻击和其他安全问题。本文介绍了JavaScript提供的四种转义函数，包括已被废弃的 escape() 函数、用于编码整个URL的 encodeURI() 函数、用于编码查询字符串参数的 encodeURIComponent() 函数以及第三方库 DOMPurify.sanitize()。熟练掌握这些函数可以帮助您更好地保护您的应用程序免受安全漏洞的威胁。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/14764