XSSの脆弱性を回避するには一重引用符で囲みますが、ユーザーは入力にそれらを使用できますか？

Question

これはもっと基本的な質問かもしれませんが、自分のJavaScriptページのデータベースにアクセスするコントローラからJSON文字列にアクセスしています。私は{JSENCODE（jsonString）}がXSSの脆弱性に注意するようにするため、ユーザーはJSON内のオブジェクトの名前を指定します。

JSENCODEを実行しているときに、シングルクォートがエスケープされます。それからJSON.parse（）しようとすると、\ 'は無効な文字としてエラーをスローします。 \ 'を\で置き換えるとエラーは発生しませんが、一重引用符（アポストロフィで使用）ではなくオブジェクト名のリストに\'として表示されます。

XSSの脆弱性を回避しながら、ユーザーがこれらのオブジェクトの名前に一重引用符を使用できるようにするには、どのような行動をとるべきでしょうか？

Answer 1

データを取得してJSONに変換し、それを<script>要素の文字列リテラルに注入し、結果の文字列をJSONとして解析しようとしているようです。

問題は、JSONの特殊文字もJavaScriptの特殊文字です。

JSONはJavaScriptのサブセットであるため、JavaScriptリテラルのように使用できます。

<script> 
    var data = {!JSENCODE(jsonString)}; 
    console.log(data); 
</script>