Python 3.6+中是否有更简洁的JavaScript上下文输出编码方法？

在Python 3.6及以上版本中，有没有简洁的方法对JavaScript上下文进行输出编码？

这里的核心需求是：对任意未净化的输入字符串做正确编码后，替换下面HTML代码里的VALUE，就能阻止网页中的所有XSS攻击，让输入无法突破JavaScript字符串或HTML的限制：

<!DOCTYPE html>
<html>
  <head>
    <script>
      var a = 'VALUE';
    </script>
  </head>
</html>

根据OWASP XSS防护 cheat sheet的要求，所有非字母数字字符都要做十六进制转义。这份文档提供了Java实现，但除了一个2010年就停止更新的Python实现外，没找到合适的现成方案，所以自己写了下面这个函数：

import curses.ascii

def as_js_in_html(value):
    result = ''
    for char in value:
        if curses.ascii.isalnum(char):
            result += char
        else:
            char_hex = format(ord(char), 'x')
            if len(char_hex) <= 2:
                result += '\\x' + char_hex.rjust(2, '0')
            elif len(char_hex) <= 6:
                result += '\\u{' + char_hex + '}'
    return result

请问有没有更优的实现方式？

优化方案 #

1. 手动实现的优化版本

原实现存在两个可以改进的点：一是循环中逐个拼接字符串的效率较低，二是curses.ascii.isalnum仅支持ASCII字符，无法覆盖Unicode范围内的字母数字。优化后的代码如下：

def as_js_in_html(value):
    def encode_char(c):
        if c.isalnum():
            return c
        char_code = ord(c)
        # 对0xFF以内的字符用\x转义，超出部分用\u{}转义
        return f'\\x{char_code:02x}' if char_code <= 0xFF else f'\\u{{{char_code:x}}}'
    # 用join结合生成器表达式提升字符串拼接效率
    return ''.join(encode_char(c) for c in value)

这个版本不仅性能更优，还能正确处理Unicode字母数字字符，逻辑也更简洁易读。

2. 使用成熟安全库（推荐）

手动实现容易遗漏边缘场景，更可靠的方式是使用经过安全验证的第三方库：

• markupsafe：它的escapejs方法专门针对JavaScript字符串编码，完全符合OWASP的防护规范，能自动处理引号、反斜杠、控制字符等所有危险内容：

  from markupsafe import escapejs
  
  # 直接调用即可完成符合要求的编码
  encoded_input = escapejs(untrusted_input)
  

• bleach：专注于内容安全净化的库，也提供了JavaScript上下文的编码能力，适合需要同时处理HTML和JS场景的需求。

总结 #

如果不想引入第三方依赖，优化后的手动实现是不错的选择；如果追求最高的安全性和开发效率，直接使用markupsafe的escapejs方法是最佳方案，它能彻底避免手动实现可能带来的安全漏洞。

内容的提问来源于stack exchange，提问作者Joseph238