validar W3 para formulario con javascript

[abigor66]

muy buenas tardes foreros, estoy pasandole el validador a mi web y me hace falta corregir el siguiente código:

Código HTML:

<form action="javascript:location.href = '/es/search/'+(document.buscador.q.value).replace(a,' ').replace(b,'+').replace(c,'\\$&').replace(d,'\\0')+'.html'" name="buscador" method="post">
 

como ven tengo código javascript dentro de una etiqueta html, por lo que creo que no puedo comentar el código para que pase el validador.
alguien sabe como solucionarlo?

el error es el siguiente:

• Column 151: character "&" is the first character of a delimiter but occurred as data
  …e(a,' ').replace(b,'+').replace(c,'\\$&').replace(d,'\\0')+'.html'" name="busc…
• Column 80: xmlParseEntityRef: no name
  …'/es/search/'+(document.buscador.q.value).replace(a,' '…

muchas gracias por su tiempo

[caricatos]

Hola:

Porqué no usas un evento en vez del action... el mismo submit, por ejemplo; o mejor aún, si no vas a enviar el formulario como tal, puedes usar un botón (type="button")...

Lo que suelo recomendar siempre es evitar quitar el sentido semántico a los elementos; y un formulario es un formulario; un botón es un botón...

Saludos

[davidbrepe]

no pongas & directamente, pon &
a mi me daba un error de por el estilo hace poco

Un saludo!

[abigor66]

Gracias, pero creo que debo colocar el código completo para que se entienda mejor:

Código HTML:

<script language="javascript1.2" type="text/javascript"> 
<!--
var a = /["<>'-]/g;
var b = / /g;
var c = /[\\]/g;
var d = /\u0000/g;
-->
</script> 
<form action="javascript:location.href = 'es/search/'+(document.buscador.q.value).replace(a,' ').replace(b,'+').replace(c,'\\$&').replace(d,'\\0')+'.html'" name="buscador" method="post"> 
        <input type="text" id="q" name="q" /> 
        <a style="cursor:pointer" onclick="buscador.submit();return false"><img src="search.gif" width="15" height="15" alt="search" /></a> 
</form>
 

este formulario es del buscador interno de mi web y lo que hace el código javascript es convertir lo que escribe el usuario a un formato específico de url. básicamente trato de evitar un ataque xss y cambiar los espacios por "+"

[SergeMedina]

Lo correcto seria que hicieras esa validacion en el backend.

Saludos.

[abigor66]

Gracias SergeMedina me podrías hacer el favor de orientarme un poco más sobre lo que propones?