Почему grails.views.default.codec по умолчанию не имеет значения «html»? - PullRequest
Новая
       23

Почему grails.views.default.codec по умолчанию не имеет значения «html»?

3 голосов
/ 17 ноября 2009

Параметр Grails Config.groovy grails.views.default.codec указывает кодек по умолчанию, используемый для кодирования данных в пределах ${...} в представлениях Grails.

Этот параметр конфигурации может принимать любое из значений none (фильтрация не требуется), html (чтобы избежать XSS-атак) и base64 (не имеет ни одного реального сценария использования, о котором я знаю).

По умолчанию Grails none (без фильтрации).

Вопросы:

  • Существуют ли какие-либо веские технические причины не использовать более безопасный вариант "html"?
  • Когда вы решите использовать опцию по умолчанию "none" в ваших проектах Grails?

1 Ответ

1 голос
/ 17 ноября 2009

Вопрос по аналогичной теме здесь. . Я не претендую на большой опыт в этом, но я представляю. Почему это не HTML по умолчанию мне странно. Я нашел GRAILS-2945 , где это было предложено, но в конечном итоге отклонено, без особых объяснений. Также есть дополнительная информация в GRAILS-1827 , когда проблема была впервые реализована.

...