Wann als HTML in Grails

Question

zu codieren Ich sehe oft Grails Beispielcode, wo der Programmierer eine Methode namens encodeAsHTML() aufgerufen hat. Ich denke, ich sollte das wahrscheinlich in meinen Grails-Anwendungen verwenden (aus Sicherheitsgründen nehme ich an?), Aber ich habe mich gefragt, , wenn ich sollte diese Methode verwenden. Welche Objekte/Eigenschaften/etc. sind Kandidaten für die encodeAsHTML() Methode?

Vielen Dank!

Answer 1

Verwenden Sie encodeAsHTML() (oder encodeAsJavaScript usw.) für alles, was Sie vom Benutzer haben. Für jede Zeichenfolge, die vom Benutzer geändert wurde (bekam von Eingabeformular, von Anforderungsparameter, von einem externen API-Aufruf, usw.)

Siehe auch:

• https://en.wikipedia.org/wiki/Cross-site_scripting
• https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet
• https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet

Answer 2

Ich bin mir nicht sicher, wann dies in Grails eingeführt wurde, aber wenn in Config.groovy Sie setzen grails.views.default.codec="html" dann encodeAsHTML() wird aufgerufen, wenn Sie ${} in GSPs verwenden.

Quelle: http://alwaysthecritic.typepad.com/atc/2010/06/grails-gsp-html-escaping-confusion.html