express + jade/pugで文字列化されたスクリプトタグを追加するには

Question

pugをビューとして使用して表現しています。私のindex.pugには次のものがあります：

script(type='text/javascript'). 
     window.__DATA__ = !{payload} 

ここで、payloadはjsonオブジェクトです。それは急行の​​レンダリング機能で文字列化されました：

res.render('index', { 
    payload : JSON.stringify({ 
     "anExample": "<script></script>" 
    }) 
}) 

私のJSONオブジェクトが</script>それが原因終了スクリプトタグに早く私のwindow.__DATA =機能を終了したとき。これが私のページを吹き飛ばすのを防ぐにはどうすればいいですか？これはPugやExpress、ブラウザの制限ですか？

Answer 1

提供されたJSON.stringify関数を使用する代わりに、stringifyライブラリを使用することをお勧めします。

具体的には、nsonモジュールjs-stringifyを使用して、<文字をユニコードに変更し、jsonを文字列化しました。したがって、それはPugのようなテンプレートエンジンに挿入することができます。 Pugはそれから!{my_stringified_json}でエスケープすることができます。ユニコードを元の状態に戻すことができないので、jsonはユニコードの代わりに'anExample: '<script></script'>になります。

Answer 2

スクリプトタグを含む文字列を「分割」する必要があります。このような

何か作業をする必要があります：

"anExample": "<script></scr" + "ipt>" 

この方法で、</scr" + "ipt>は終了スクリプトタグとして解釈されることはありません。