`HtmlEscape` în Dart

JSON și codificări (dart:convert) Dart 1.0

Înlocuiește caracterele speciale HTML (< > & " ' /) cu entități, ca textul să nu poată injecta cod în pagină.

Sintaxă

const HtmlEscape([HtmlEscapeMode mode = HtmlEscapeMode.unknown])
String convert(String text)
const HtmlEscape htmlEscape

Ce face `HtmlEscape`

HtmlEscape transformă caracterele care au înțeles în HTML în entități: < devine <, & devine & și așa mai departe. Astfel, un text venit de la utilizator se afișează exact cum l-a scris, fără să fie interpretat ca HTML (protecție împotriva XSS).

Constanta gata făcută htmlEscape (cu modul implicit HtmlEscapeMode.unknown) înlocuiește < > & " ' /. Alte moduri: HtmlEscapeMode.element (doar < > &, pentru conținutul unui element) și HtmlEscapeMode.attribute (pentru valori între ghilimele duble).

Parametri

Parametru	Descriere
`mode`	Ce caractere se înlocuiesc (`unknown`, `element`, `attribute`, `sqAttribute`).
`text`	La `convert`: textul de protejat.

Ce returnează

convert: textul cu entitățile HTML.

Exemple

Exemplul 1: Comentariu periculos afișat în siguranță

import 'dart:convert';

void main() {
  const comentariu = '<script>alert("hack")</script> & salut';
  print(htmlEscape.convert(comentariu));
  print('<p>${htmlEscape.convert('Ion & Ana')}</p>');
}

Rezultat

&lt;script&gt;alert(&quot;hack&quot;)&lt;&#47;script&gt; &amp; salut
<p>Ion &amp; Ana</p>

Exemplul 2: Modurile de escapare

import 'dart:convert';

void main() {
  const text = '''Ana's "notă" <10> & 1/2''';
  print(const HtmlEscape().convert(text));
  print(const HtmlEscape(HtmlEscapeMode.element).convert(text));
  print(const HtmlEscape(HtmlEscapeMode.attribute).convert(text));
}