javascript - python的json.dumps输出对javascript安全吗？

Question

我想知道 python 的json.dumps方法的输出是否可以安全地直接渲染到 html/js 脚本中而无需转义。

my_dict = {...}
my_dict_json_str = json.dumps(my_dict)

然后渲染这个

<script>
    var my_dict = {{my_dict_json_str}};
</script>

这是否每次都有效，或者是否有一些字符会破坏它？

标签： javascriptpythonjson

Answer 1

json.dumps如果没有适当的转义，html 使用是不安全的。

>>> json.dumps({"one": "</script>"})
'{"one": "</script>"}'

这种行为可能会破坏您的 html。