Express und ejs <% =, um einen JSON zu rendern

In meiner index.ejs habe ich diesen Code:

var current_user = <%= user %>

In meinem Knoten habe ich

app.get("/", function(req, res){
    res.locals.user = req.user
    res.render("index")
})

Allerdings erhalte ich auf der Seite

var current_user = [object Object]

und wenn ich schreibe

var current_user = <%= JSON.stringify(user) %>

Ich erhalte:

var current_user = {"__v":0,"_id":"50bc01938f164ee80b000001","agents":...

Gibt es eine Möglichkeit, einen JSON zu übergeben, der JS-lesbar ist ?

Oh, das war einfach, benutze es nicht <%=, benutze es <%-stattdessen. Zum Beispiel:

 <%- JSON.stringify(user) %>

Der erste wird in HTML gerendert, der zweite wird Variablen rendern (wie sie sind, eval)

Beachtung!

Wenn der Benutzer durch API-Aufrufe erstellt werden kann, führt <% - zu einer schwerwiegenden XSS-Sicherheitsanfälligkeit. Mögliche Lösungen finden Sie hier:

Übergeben Sie Variablen in ExpressJS an JavaScript