Existe-t-il un moyen standard de coder une chaîne .NET en chaîne JavaScript pour une utilisation dans MS Ajax?

Question

J'essaie de transmettre la sortie d'une exception SQL Server au client en utilisant la méthode RegisterStartUpScript de MS ScriptManager dans .NET 3.5. Cela fonctionne correctement pour certaines erreurs, mais lorsque l'exception contient des guillemets simples, l'alerte échoue.

Je ne veux pas seulement échapper seulement des guillemets simples. Y at-il une fonction standard que je peux appeler pour échapper des caractères spéciaux pour une utilisation en JavaScript?

string scriptstring = "alert('" + ex.Message + "');";   
ScriptManager.RegisterStartupScript(this, this.GetType(), "Alert", scriptstring , true); 

---

EDIT:

Merci @tpeczek, le code presque a fonctionné pour moi :) mais avec une légère modification (l'échappement des guillemets simples), il fonctionne un régal.

J'ai inclus ma version modifiée ici ...

public class JSEncode 
{ 
    /// <summary> 
    /// Encodes a string to be represented as a string literal. The format 
    /// is essentially a JSON string. 
    /// 
    /// The string returned includes outer quotes 
    /// Example Output: "Hello \"Rick\"!\r\nRock on" 
    /// </summary> 
    /// <param name="s"></param> 
    /// <returns></returns> 
    public static string EncodeJsString(string s) 
    { 
     StringBuilder sb = new StringBuilder(); 
     sb.Append("\""); 
     foreach (char c in s) 
     { 
      switch (c) 
      { 
       case '\'': 
        sb.Append("\\\'"); 
        break; 
       case '\"': 
        sb.Append("\\\""); 
        break; 
       case '\\': 
        sb.Append("\\\\"); 
        break; 
       case '\b': 
        sb.Append("\\b"); 
        break; 
       case '\f': 
        sb.Append("\\f"); 
        break; 
       case '\n': 
        sb.Append("\\n"); 
        break; 
       case '\r': 
        sb.Append("\\r"); 
        break; 
       case '\t': 
        sb.Append("\\t"); 
        break; 
       default: 
        int i = (int)c; 
        if (i < 32 || i > 127) 
        { 
         sb.AppendFormat("\\u{0:X04}", i); 
        } 
        else 
        { 
         sb.Append(c); 
        } 
        break; 
      } 
     } 
     sb.Append("\""); 

     return sb.ToString(); 
    } 
} 

Comme mentionné ci-dessous - source d'origine: here

Answer 1

A probem avec cette fonction est qu'elle ne code pas les caractères qui sont généralement out-of-band dans l'encapsulation HTML ... donc vous auriez des problèmes si vous essayiez d'inclure une chaîne avec " dans une valeur d'attribut, ou si vous aviez une chaîne avec la séquence </script> dans un élément de script. Cela pourrait conduire à l'injection de script et XSS.

Vous pouvez ajouter:

  case '<': 
       sb.Append("\\x3C"); 
       break; 
      case '"': 
       sb.Append("\\x22"); 
       break; 
      case '&': 
       sb.Append("\\x26"); 
       break; 

En général, il serait sans doute préférable d'utiliser un codeur standard JSON que brasser votre propre chaîne JS encodeur littéral. Cela vous permettra de passer n'importe quel type de données simple à JS plutôt que seulement des chaînes.

Dans .NET 3.5, vous obtenez JavaScriptSerializer, notez toutefois que, si ce -t encode < à \u003C (de sorte que la sortie sera adapté à une utilisation dans un élément <script>), il ne encode & ou ", donc l'échappement HTML serait nécessaire pour inclure un tel contenu dans une valeur d'attribut et un wrapper CDATA serait nécessaire pour les éléments de script XHTML.

(Comme de nombreux codeurs JSON, il ne parvient pas à encoder les caractères U + 2028 LINE SEPARATOR et U + 2029 PARAGRAPH SEPARATOR car le code ci-dessus échappe à tous les caractères non-ASCII. littéral 'erreurs lorsque ces caractères sont inclus dans un littéral de chaîne JS, car JavaScript les traite de la même manière qu'un saut de ligne ASCII.)

Answer 2

Avez-vous jeté un coup d'œil à HttpUtility.JavaScriptStringEncode?

Answer 3

Ceci est un ancien sujet, mais vous pouvez être intéressé par la bibliothèque Microsoft AntiXSS qui a une méthode d'encodage Javascript qui fonctionne pour .Net 2 et plus.

http://msdn.microsoft.com/en-gb/security/aa973814.aspx