html 中引号 转义引号,如何正确转义html属性中的引号？

你真的应该只允许不受信任的数据进入良好属性的白名单，例如：align，alink，alt，bgcolor，border，cellpadding，cellspacing，class，color，cols，colspan，coords，dir，face，height，hspace，ismap，lang ，marginheight，marginwidth，multiple，nohref，noresize，noshade，nowrap，ref，rel，rev，rows，rowspan，scrolling，shape，span，summary，tabindex，title，usemap，valign，value，vlink，vspace，width

你真的想要从javascript处理程序以及id或name属性中保留不受信任的数据(它们可以破坏DOM中的其他元素) .

此外，如果您将不受信任的数据放入SRC或HREF属性，那么它实际上是一个不受信任的URL，因此您应该验证URL，确保它不是javascript：URL，然后是HTML实体编码 .