使用 README 中的示例 golang gin 代碼：func main() { router := gin.Default() router.LoadHTMLGlob("templates/*") router.GET("/", func(c *gin.Context) { c.HTML(http.StatusOK, "index.tmpl", gin.H{ "foo": "bar", }) }}// in template index.tmpl<script>{{.foo}}</script>// result in html<script>"bar"</script>但是如果沒有引號(hào)我怎樣才能得到它，我只需要barvs "bar"？
1 回答
qq_遁去的一_1
TA貢獻(xiàn)1725條經(jīng)驗(yàn) 獲得超8個(gè)贊
模板包實(shí)現(xiàn)了 HTML 上下文感知引擎來提供注入安全的 html。
換句話說，它知道它在 script 標(biāo)簽內(nèi)執(zhí)行，因此它不會(huì)輸出原始字符串，而是與 js 兼容的 json 編碼字符串。
要修復(fù)此問題，與評(píng)論建議的不同，請(qǐng)將字符串設(shè)置為template.JS值，并且安全措施不會(huì)嘗試保護(hù)字符串。
參考 - https://golang.org/pkg/html/template/
包模板 (html/template) 實(shí)現(xiàn)數(shù)據(jù)驅(qū)動(dòng)模板，用于生成安全的 HTML 輸出，防止代碼注入。
使用此類型會(huì)帶來安全風(fēng)險(xiǎn)：封裝的內(nèi)容應(yīng)來自受信任的來源，因?yàn)樗鼘⒅鹱职谀０遢敵鲋小?/p>
package main
import (
"html/template"
"os"
)
func main() {
c := `<script>
{{.foo}}
{{.oof}}
</script>`
d := map[string]interface{}{"foo": "bar", "oof": template.JS("rab")}
template.Must(template.New("").Parse(c)).Execute(os.Stdout, d)
}
https://play.golang.org/p/6qLnc9ALCeC
- 1 回答
- 0 關(guān)注
- 235 瀏覽
添加回答
舉報(bào)
0/150
提交
取消