Express i EJS <% = renderować json

Question

W moim index.ejs mam ten kod:

var current_user = <%= user %> 

W moim węzła mam

app.get("/", function(req, res){ 
    res.locals.user = req.user 
    res.render("index") 
}) 

Jednak na stronie I uzyskania

var current_user = [object Object] 

i jeśli piszę

var current_user = <%= JSON.stringify(user) %> 

I otrzymujemy:

var current_user = {"__v":0,"_id":"50bc01938f164ee80b000001","agents":... 

Czy istnieje sposób przekazać JSON, które będą czytelneJS?

Answer 1

To było łatwe, nie używaj <%=, zamiast tego użyj <%-. Na przykład:

<%- JSON.stringify(user) %> 

Pierwszy odda w HTML, drugi będzie świadczyć zmiennych (ponieważ są one, eval)

Answer 2

Uwaga!

Jeśli użytkownik może zostać utworzony za pomocą wywołań interfejsu API, <% - zostawia poważną lukę XSS. Możliwe rozwiązania można znaleźć tutaj:

Pass variables to JavaScript in ExpressJS