Jinja: يعد Autoescaping المعطل افتراضيًا افتراضيًا خطيرًا

Jinja ليس فقط لـ HTML ولكن محرك قالب للأغراض العامة. أعتقد أن معظم الناس يستخدمون Jinja in Flask ، والذي يمكّن autoescape افتراضيًا لقوالب HTML. إذا قمت بدمج محرك قالب في إطار العمل الخاص بك ، فمن المفترض أن تقرأ الوثائق الخاصة بكيفية استخدامه بأمان.

بعد قولي هذا ، أعتقد أن كونك واضحًا جدًا في المستندات أنه ربما يجب عليك استخدام autoescape عند إنشاء HTML يعد اقتراحًا جيدًا.

أفترض أن معظم الأطر الرئيسية تحصل على هذا بشكل صحيح (عيون أكثر ، أخطاء أقل ، إلخ.) ولكن هناك أيضًا الكثير من المشاريع الأصغر التي تدمج Jinja يدويًا والتي تفعل هذا الخطأ.

ولكي أكون صريحًا ، فإن توثيق Jinja ضعيف حقًا حول هذا الموضوع. هذا ما تراه لأول مرة عند فتح توثيق Jinja:

Jinja2 هي لغة قوالب حديثة وسهلة التصميم لبايثون ، على غرار قوالب Django. إنه سريع ، ومستخدم على نطاق واسع وآمن مع بيئة تنفيذ قالب الحماية الاختيارية:

"على غرار قوالب Django" و "آمن" يمكن أن يؤدي إلى الاعتقاد بأنه يحتوي على ميزات أمان قوالب Django مثل autoescaping.

ثم ، مثال ، وهو HTML. وبعد ذلك ، في قائمة الميزات:

نظام هروب HTML أوتوماتيكي قوي لمنع XSS

الذي لا يذكر أنه اختياري ولا يتم تمكينه افتراضيًا.

لا تُظهر صفحة مستندات "الاستخدام الأساسي لواجهة برمجة التطبيقات" إمكانية تمكين النسخ التلقائي ولكنها لا تعرض HTML أيضًا ، لذلك أعتقد أن هذا جيد. ولكن بعد ذلك عندما تنتقل إلى صفحة "الأساسيات" الخاصة بواجهة برمجة التطبيقات :

from jinja2 import Environment, PackageLoader
env = Environment(loader=PackageLoader('yourapplication', 'templates'))
template = env.get_template('mytemplate.html')
print template.render(the='variables', go='here')

المثال الأول عرضة لـ XSSes التافهة. الناس على حق في الخلط.

يبدو أنه مرشح جيد لطلب السحب :)

لا يمكننا إيقاف هذا الآن دون كسر كود الجميع. ومع ذلك ، يسعدني تحديث المستندات وفقًا لذلك. سأغلق هذا باعتباره wontfix ولكن لا تتردد في فتح العلاقات العامة لتحديثات الوثائق.