當允許用戶編輯他們的模板時，freemarker安全

Question

我是freemarker的新手，我需要知道這個問題是否選擇它，我會自己去除XSS，但我不知道freemarker安全的其他功能。網站允許用戶編輯他們的模板？

Answer 1

哦，天啊！這基本上等同於允許用戶評估任意代碼。事後刪除XSS只會刪除一個潛在的漏洞。他們仍然可以做很多其他事情，如操縱POST參數或執行頁面重定向。

Answer 2

約翰是對的。讓用戶真正編輯freemarker模板本身似乎很奇怪。如果您再次輸出用戶輸入（例如在結果頁面上顯示搜索詞），我建議使用內置的？html字符串，它可以幫助您避免最基本的xss攻擊（例如，「您搜索了'$ {項？HTML}'「）。

Answer 3

正如其他人所說，這是不安全的。但是，如果這些用戶是貴公司的僱員或類似人員（即，如果他們輕易對惡意行爲負責），那麼這並非完全沒有問題。欲瞭解更多詳情，請參閱：http://freemarker.org/docs/app_faq.html#faq_template_uploading_security