Khi nào mã hóa dưới dạng HTML trong Grails

Question

Tôi thường thấy mã mẫu Grails nơi lập trình viên đã gọi một phương thức có tên là encodeAsHTML(). Tôi hình tôi có lẽ nên sử dụng điều này trong các ứng dụng Grails của tôi (vì lý do bảo mật, tôi giả sử?), Nhưng tôi đã tự hỏi khi Tôi nên sử dụng phương pháp này. Đối tượng/thuộc tính/etc. là ứng cử viên cho phương pháp encodeAsHTML()?

Cảm ơn bạn!

Answer 1

Sử dụng encodeAsHTML() (hoặc encodeAsJavaScript, v.v.) cho mọi thứ bạn có từ người dùng. Đối với mỗi chuỗi mà có thể được sửa đổi bởi người sử dụng (nhận được từ hình thức đầu vào, từ tham số yêu cầu, từ cuộc gọi API bên ngoài, vv)

Xem thêm:

• https://en.wikipedia.org/wiki/Cross-site_scripting
• https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet
• https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet

Answer 2

Tôi không chắc chắn khi nào điều này được giới thiệu với Grails, nhưng nếu vào năm Config.groovy bạn đặt grails.views.default.codec="html" rồi encodeAsHTML() được gọi bất cứ khi nào bạn sử dụng ${} trong GSP.

Nguồn: http://alwaysthecritic.typepad.com/atc/2010/06/grails-gsp-html-escaping-confusion.html