Jinja: डिफ़ॉल्ट रूप से अक्षम ऑटोस्केपिंग एक खतरनाक डिफ़ॉल्ट है

को निर्मित 6 जन॰ 2016 · 4टिप्पणियाँ · स्रोत: pallets/jinja

मैंने आज बाहरी रूप से रिपोर्ट किए गए एक्सएसएस के माध्यम से पाया कि जिंजा डिफ़ॉल्ट रूप से ऑटोस्केपिंग चालू नहीं करता है। यह एक खतरनाक डिफ़ॉल्ट है, जिसे इस तथ्य से और भी खतरनाक बना दिया गया है कि कई लोगों को जिंजा टेम्पलेट्स के अपने पिछले ज्ञान के माध्यम से पेश किया जाता है, जो कि 2007 से डिफ़ॉल्ट रूप से ऑटो-एस्केपिंग सक्षम है।

इंटरनेट के माध्यम से देखने पर ऐसा लगता है कि यह तथ्य बहुत अच्छी तरह से ज्ञात नहीं है। वास्तव में, मुझे किताबें भी मिलीं (पायथन ३ ऑब्जेक्ट ओरिएंटेड प्रोग्रामिंग, अध्याय १२, सीसी @buchuki) जो वेबसाइटों के लिए जिन्जा २ का उपयोग करने की सलाह देती हैं और ऑटोएस्केपिंग को छोड़ देती हैं। जीथब परियोजनाओं का एक यादृच्छिक नमूना यह भी दर्शाता है कि अधिकांश लोग अपने प्रोजेक्ट में ऑटोस्केप = ट्रू या ऑटोस्केप एक्सटेंशन नहीं जोड़ते हैं।

जबकि मैं समझता हूं कि उस बिंदु पर सुरक्षित डिफ़ॉल्ट पर माइग्रेट करना शायद एक दर्द होगा, दस्तावेज़ीकरण को कम से कम यह स्पष्ट करना चाहिए कि डिफ़ॉल्ट रूप से ऑटोस्केपिंग बंद है। हो सकता है कि autoescape=True उन सभी उदाहरणों में जोड़ें जो jinja2.Environment ऑब्जेक्ट बनाते हैं और/या दस्तावेज़ीकरण में बहुत पहले एक सेक्शन जोड़ते हैं।

docs

स्रोत

delroth

👍5

सबसे उपयोगी टिप्पणी

पुल अनुरोध के लिए एक अच्छे उम्मीदवार की तरह लगता है :)

ThiefMaster 6 जन॰ 2016

👍2

सभी 4 टिप्पणियाँ

जिंजा न केवल HTML के लिए बल्कि एक सामान्य-उद्देश्य टेम्पलेट इंजन के लिए है। मुझे लगता है कि ज्यादातर लोग फ्लास्क में जिंजा का उपयोग करते हैं, जो एचटीएमएल टेम्पलेट्स के लिए डिफ़ॉल्ट रूप से ऑटोस्केप को सक्षम बनाता है। यदि आप अपने स्वयं के ढांचे में एक टेम्पलेट इंजन को एकीकृत करते हैं, तो आपको इसे सुरक्षित रूप से उपयोग करने के बारे में दस्तावेज़ीकरण पढ़ना चाहिए।

उस ने कहा, मुझे लगता है कि दस्तावेज़ों में बहुत स्पष्ट होना चाहिए कि एचटीएमएल उत्पन्न करते समय आपको शायद ऑटोस्केप का उपयोग करना चाहिए, यह एक अच्छा सुझाव है।

ThiefMaster 6 जन॰ 2016

मुझे लगता है कि अधिकांश प्रमुख ढांचे को यह अधिकार मिलता है (अधिक आंखें, कम बग इत्यादि) लेकिन कई छोटी परियोजनाएं भी हैं जो जिन्जा को मैन्युअल रूप से एकीकृत करती हैं जो यह गलती करती हैं।

और स्पष्ट होने के लिए, उस विषय पर जिंजा का दस्तावेज वास्तव में खराब है। जब आप जिन्जा के दस्तावेज़ खोलते हैं, तो आप सबसे पहले यही देखते हैं:

जिंजा2 पायथन के लिए एक आधुनिक और डिजाइनर-अनुकूल टेम्प्लेटिंग भाषा है, जिसे Django के टेम्प्लेट के बाद तैयार किया गया है। यह वैकल्पिक सैंडबॉक्स वाले टेम्पलेट निष्पादन वातावरण के साथ तेज़, व्यापक रूप से उपयोग और सुरक्षित है:

"Django के टेम्प्लेट के बाद तैयार किया गया" और "सुरक्षित" यह सोचने के लिए प्रेरित कर सकता है कि इसमें Django के टेम्प्लेट सुरक्षा सुविधाएँ जैसे ऑटोएस्केपिंग हैं।

फिर, एक उदाहरण, जो HTML है। और उसके ठीक बाद, सुविधाओं की सूची में:

XSS रोकथाम के लिए शक्तिशाली स्वचालित HTML एस्केपिंग सिस्टम

जो उल्लेख नहीं करता है कि यह वैकल्पिक है और डिफ़ॉल्ट रूप से सक्षम नहीं है।

"मूल एपीआई उपयोग" दस्तावेज़ पृष्ठ ऑटोस्केपिंग सक्षम नहीं दिखाता है लेकिन यह HTML भी नहीं दिखाता है, इसलिए मुझे लगता है कि यह ठीक है। लेकिन तब जब आप एपीआई "बेसिक्स" पेज पर जाते हैं :

from jinja2 import Environment, PackageLoader
env = Environment(loader=PackageLoader('yourapplication', 'templates'))
template = env.get_template('mytemplate.html')
print template.render(the='variables', go='here')

पहला उदाहरण तुच्छ XSSes के लिए असुरक्षित है। लोगों का भ्रमित होना सही है।

delroth 6 जन॰ 2016

पुल अनुरोध के लिए एक अच्छे उम्मीदवार की तरह लगता है :)

ThiefMaster 6 जन॰ 2016

👍2

हम सभी के कोड को तोड़े बिना इसे अभी बंद नहीं कर सकते। हालांकि मैं तदनुसार दस्तावेज़ों को अपडेट करने में प्रसन्न हूं। मैं इसे एक अभ्यस्त के रूप में बंद कर दूंगा लेकिन दस्तावेज़ीकरण अपडेट के लिए पीआर खोलने के लिए स्वतंत्र महसूस करूंगा।

mitsuhiko 6 जन॰ 2017

👎2 👍1

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Jinja: डिफ़ॉल्ट रूप से अक्षम ऑटोस्केपिंग एक खतरनाक डिफ़ॉल्ट है

सबसे उपयोगी टिप्पणी

सभी 4 टिप्पणियाँ

संबंधित मुद्दों