Express và EJS <% = để render một JSON

Question

Trong index.ejs của tôi, tôi có mã này:

var current_user = <%= user %> 

Trong nút của tôi, tôi có

app.get("/", function(req, res){ 
    res.locals.user = req.user 
    res.render("index") 
}) 

Tuy nhiên, trên trang tôi có được

var current_user = [object Object] 

và nếu tôi viết

var current_user = <%= JSON.stringify(user) %> 

tôi có được:

var current_user = {"__v":0,"_id":"50bc01938f164ee80b000001","agents":... 

Có cách nào để vượt qua một JSON sẽ JS có thể đọc được?

Answer 1

Rất dễ, không sử dụng <%=, thay vào đó hãy sử dụng <%-. Ví dụ:

<%- JSON.stringify(user) %> 

Người đầu tiên sẽ làm trong HTML, điều thứ hai sẽ làm cho biến (như họ đang có, eval)

Answer 2

Chú ý!

Nếu người dùng có thể được tạo thông qua các cuộc gọi API, <% - sẽ khiến bạn bị lỗ hổng XSS nghiêm trọng. Có thể tìm thấy các giải pháp có thể có tại đây:

Pass variables to JavaScript in ExpressJS