如何在 PHP 中替换/转义 U+2028 或 U+2029 字符以阻止我的 JSONP API 崩溃

好的，我正在运行一个公共 JSONP API，数据由我的 PHP 服务器提供。我刚刚读了这篇文章：

• JSON：不是的 JavaScript 子集（作者：Magnus Holm；2011 年 5 月） http://timelessrepo.com/json-isnt-a-javascript-subset
  （请阅读以澄清）

基本上，如果我的 JSON 字符串包含 U+2028 字符（Unicode 行分隔符）或 U+2029 字符（Unicode 段落分隔符），那么这是完全有效的 JSON。然而，当使用 JSONP 时，JSON 将作为 JavaScript 执行，并且 JavaScript 中的任何字符串都不能包含文字 U+2028 或 U+2029，因为它会破坏 JavaScript。显然，只要您使用正确的 JSON 解析器，这通常不是问题，但在 JSONP 的情况下，浏览器isJSON 解析器。

本质上，如果这些字符位于发送到客户端的 JSONP 数据中的字符串内，则会在字符串中插入换行符或段落符，从而破坏 JavaScript 并停止其执行。这是有可能的，因为 API 正在发回一些客户端输入的数据。有人可能会在数据库中输入 U+2028 或 U+2029，因此当我将其作为 JSONP 发回时，它将破坏使用我的 API 的任何实现。

所以我的问题是，在 PHP 中，在将 JSON 数据发送到客户端之前，如何清理/输出转义 JSON 数据以删除或转义 U+2028 和 U+2029 字符？

目前我的流程正在做json_encode http://php.net/manual/en/function.json-encode.php数据数组并将该数据发送到客户端。我应该通过循环数组并过滤它来转义数据，还是一次性转义所有 JSON 编码字符串？

另一件事是我不确定如何转义 PHP 中的 U+2028 和 U+2029 字符。我可以只做一个str_replace吗？我不确定 str_replace 是否是多字节安全的没有 mb_str_replace http://php.net/manual/en/ref.mbstring.php功能，除非我使用一些定制的。那么如何删除/转义这些 un​​icode 字符呢？

非常感谢。

您可以更换U+2028, U+2029 with "\u2028", "\u2029"无论是在 PHP 端还是 JavaScript 端，或者两者，只要它至少发生一次就没关系（它是幂等的）。

您可以使用普通的字符串替换函数。它们不需要是“多字节安全”的，并且您可以在任何 Unicode 编码中轻松地做到这一点（UTF-8、UTF-16、UTF-32 都同样好）。上次我检查时 PHP 没有 Unicode 转义序列，这只是 PHP 是一个笑话的又一个原因，但你可以使用\x使用UTF-8转义...

（简而言之，没有多字节字符串替换函数的原因是因为它是多余的——它与非多字节字符串替换函数完全相同。）

// Javascript
data = data.replace("\u2028", "\\u2028").replace("\u2029", "\\u2029");

// PHP
$data = str_replace("\xe2\x80\xa8", '\\u2028', $data);
$data = str_replace("\xe2\x80\xa9", '\\u2029', $data);

或者你什么也不做，因为 PHP 默认转义非 Unicode 字符json_encode():

// Safe
echo json_encode("\xe2\x80\xa9");
--> "\u2029"

// Correct JSON, but invalid Javascript...
// (Well, technically, JSON root must be array or object)
echo json_encode("\xe2\x80\xa9", JSON_UNESCAPED_UNICODE);
--> "
"