Web2py: Ist es gefährlich request.args [0]

Aus web2py Controller angezeigt werden, ich bin der Rückkehr so etwas wie:.Web2py: Ist es gefährlich request.args [0]

raise HTTP (404, "Sorry, konnte nicht gefunden {}" -Format (request .args [0]))

Aber ist das gefährlich? Was passiert, wenn jemand die Seite mit einer bösartigen Argument-Zeichenfolge aufruft? Könnten sie HTML in meine Rückgabeseite einfügen und eine Seite auf meinem Server erstellen, die ihren HTML-Inhalt enthält? Was ist, wenn sie eine große Menge an Daten in args [0] injizieren - wird es mein Server tun?

Quelle

2016-04-11 user2667066

* "Wird es meinen Server tun?" * Versuchen Sie es? (wenn Sie im LAN sind). Würden Sie nicht einen 'IndexError' erhalten, wenn es in 'request.args' kein 0. Element gibt? – jDo

re IndexError - Ich fange das in einem try-catch-Block, so ist das kein Problem. – user2667066

Ich habe gerade gesehen, dass 127.0.0.1:8000/mypage.json/ eine ungültige URL zurückgibt, so scheinen einige meiner Sorgen unbegründet – user2667066

Um sicher zu sein, gerade tun:

raise HTTP(404, xmlescape("Sorry, could not find {}".format(request.args[0])))

xmlescape() den Text entkommen wird, so wird es keine HTML sein/JS für den Browser anzuzeigen.

Quelle

2016-04-11 17:51:17 Anthony

Web2py: Ist es gefährlich request.args [0]

Antwort

Verwandte Themen