本文深入探讨了Web开发中DOM属性值（如包含引号和&符号的字符串）的内部处理机制。通过`setAttribute`和`getAttribute`，DOM内部以原始字符串形式存储数据；然而，当使用`outerHTML`进行HTML序列化时，浏览器会自动对这些特殊字符进行HTML转义，以确保生成的HTML标记有效且结构完整。理解这一区别对于避免潜在的HTML解析问题至关重要。
在Web开发中，我们经常需要通过JavaScript来操作DOM元素的属性。当属性值包含特殊字符，例如双引号(")或和号(&)时，开发者可能会好奇这些字符在DOM内部是如何被处理的，以及它们在HTML输出中是否会被转义。本文将详细解析DOM属性操作与HTML序列化过程中特殊字符的处理机制。
DOM属性操作与字符串处理
当我们在JavaScript中通过Element.setAttribute()方法为一个DOM元素的属性设置一个字符串值时，即使该字符串包含特殊字符如双引号或和号，Element.getAttribute()方法也能准确无误地检索回原始的、未转义的字符串。这表明DOM在内部存储这些属性值时，是直接保存原始字符串，而不会立即对其进行HTML实体转义。
考虑以下示例代码：
立即学习“前端免费学习笔记（深入）”；
const e = document.createElement('i');
e.setAttribute('a', 'the "a" & b');
console.log('getAttribute:', e.getAttribute('a'));
// 预期输出: getAttribute: the "a" & b从上述输出可以看出，getAttribute('a')返回的值与setAttribute('a', ...)设置的字符串完全一致。这证实了在DOM操作层面，属性值是作为原始字符串进行管理的。
HTML序列化与特殊字符转义
然而，当涉及到将DOM结构转换为HTML字符串时，例如使用Element.outerHTML属性，情况则有所不同。outerHTML的目的是返回一个包含元素及其所有后代节点的HTML序列化字符串。在这个序列化过程中，为了确保生成的HTML标记是语法正确的且可被浏览器正确解析，浏览器会自动对属性值中的特殊字符进行HTML实体转义。
例如，上述示例中设置的属性值'the "a" & b'在outerHTML中将显示为'the "a" & b'。
const e = document.createElement('i');
e.setAttribute('a', 'the "a" & b');
// 注意：这里使用match是为了从outerHTML字符串中提取属性值部分，
// 实际outerHTML会包含完整的标签结构，例如 <i a="the "a" & b"></i>
console.log('actual markup:', e.outerHTML.match(/a="(.+)"/)[1]);
// 预期输出: actual markup: the "a" & b这里的"是双引号的HTML实体，&是和号的HTML实体。这种自动转义是HTML序列化规范的一部分，它防止了属性值中的特殊字符被解释为HTML语法的一部分，从而破坏了标签结构。例如，如果双引号不转义，它可能会提前闭合属性值，导致后续内容被错误解析。
实践应用与注意事项
理解DOM内部字符串存储与HTML序列化转义之间的区别至关重要。这意味着，即使我们通过outerHTML获取到的是一个经过转义的HTML字符串，当这个HTML字符串被重新解析并构建成新的DOM时（例如，通过innerHTML），getAttribute()方法仍然会返回原始的、未转义的字符串。
以下代码演示了这一过程：
const e = document.createElement('i');
e.setAttribute('a', 'the "a" & b');
// 获取经过HTML序列化和转义的字符串
const serializedHTML = e.outerHTML; // 例如: <i a="the "a" & b"></i>
// 将序列化的HTML字符串注入到新的DOM元素中
const div = document.createElement('div');
div.innerHTML = serializedHTML;
// 从新的DOM元素中获取属性值
const attr = div.querySelector('i').getAttribute('a');
console.log('Re-parsed attribute:', attr);
// 预期输出: Re-parsed attribute: the "a" & b从输出可见，即使经过了一次HTML序列化和重新解析，最终通过getAttribute()获取到的依然是原始的'the "a" & b'字符串。这进一步强调了getAttribute()操作的是DOM的内部状态，而非其HTML表示形式。
总结与关键点：
- DOM内部存储： setAttribute()和getAttribute()直接操作DOM的内部表示，属性值以原始字符串形式存储，不进行HTML实体转义。
- HTML序列化： outerHTML或innerHTML在将DOM转换为HTML字符串时，会自动对属性值中的特殊字符进行HTML实体转义，以确保生成的HTML是有效的。
- 数据一致性： 这种机制确保了DOM API（如getAttribute）始终提供一致的、原始的数据，而HTML序列化则负责生成符合规范的外部表示。
- 安全性考量： 尽管浏览器在序列化时会自动转义，但在处理用户输入并将其直接插入到HTML（例如通过innerHTML）时，仍需谨慎，并考虑使用适当的清理或模板引擎来防止跨站脚本攻击（XSS）。对于属性值，DOM API的这种行为是安全的，因为getAttribute返回的是原始数据，但在构建HTML时仍需注意上下文。
理解这一底层机制对于开发者准确地处理DOM属性和HTML输出至关重要，它揭示了浏览器在幕后如何智能地维护数据完整性和HTML结构的有效性。
