選擇MVC視圖引擎

我想允許我的Web應用程序的最終用戶修改存儲在數據庫中的視圖（通過基於Web的後臺）。期望的視圖引擎預計是代碼注入安全的，這意味着最終用戶將被限制爲絕對最小數量的可用表達式，不允許插入服務器代碼。選擇MVC視圖引擎

是否有任何適合的視圖引擎可供下載？

2010-03-31 leonard

我不知道任何現有的發動機，但菲爾哈克對存儲在數據庫中的意見後：http://haacked.com/archive/2009/04/22/scripted-db-views.aspx

該職位與用戶創建的意見想法的交易。如果你想防範XSS風格的代碼注入攻擊，你可以使用sanitize your HTML。

2010-03-31 19:23:43

儘快讓我的應用程序的最終用戶能夠修改視圖，他們可以將服務器代碼插入到視圖中（例如，如果我使用spark view-engine：通過使用如下語法：

！{SERVER_CODE_THAT_CAN_DO_ANYTHING_UNSECURE}

）所以，在這裏我的Web服務器上有安全漏洞。 – leonard 2010-03-31 19:58:35

這就是第二個環節 - 傑夫阿特伍德自己告訴你如何去除邪惡的東西。請注意，服務器本身不會使用ASP.NET MVC執行任何操作。您主要關心的是JavaScript XSS攻擊。 – 2010-03-31 20:01:03

回答