Использование EJS во входное значение не отображается должным образом

Question

Ниже приведена часть клиентского кода приложения node.js с использованием шаблона EJS. Существует окно ввода, и я хочу показать, не пользователь ли пользователь, и показать сообщение в поле ввода. Кроме того, поле ввода также не должно быть.

Но это не отображается должным образом. Как я могу отображать целое утверждение, включая пробел, а не только «Нужна», но «Нужно войти»?

<input type="text" <%= (isAuthenticated) ? '' : "value='Need to Login'" %> /> 

// view : 'Need 
// It doesn't show after space 

Answer 1

В EJS <%= foo %> ускользает HTML, в то время как <%- foo %> не делает.

В вашем случае <%= "value='Need to Login'" %> отобразит value='Need to Login', что не является тем, что вы хотите.

Замена <%=<%- сделает трюк.

В общем, будьте внимательны при использовании <%-, особенно при отображении произвольных строк или ввода пользователем, так как это может сделать вас уязвимым для XSS.