encodeForHtml () против htmlEditFormat ()
encodeForHtml() (новое в CF10) противhtmlEditFormat(), насколько они разные?
Ответы на вопрос(2)
чие заключается в том, что HTMLEditFormat () просто заменяет «плохой». струны, как&, < а также> с хорошими строками, как&, < а также> в то время как EncodeForHTML () умнее, с одним преимуществом он может распознавать контент, который уже закодирован, и не кодировать его дважды.
Например, если пользователь отправил следующий контент на ваш сайт:
<div>
Here is <i>test</i> html content includes<br/>
<script>alert('hello')</script>
Notice how & rendered with both functions.
</div>
Как HTMLEditFormat (), так и EncodeForHTML () будут правильно экранировать тег & lt; & amp; и "& gt;" персонажи. Но HTMLEditFormat () будет слепо кодировать& опять так, что ваш вывод выглядит так:
... how &amp; rendered ...
Где бы это выглядело в противном случае с encodeForHTML ():
... how & rendered ...
HTMLEditFormat () не может сказать, что амперсанд уже был закодирован, поэтому он перекодировал его снова. Это тривиальный пример, но он демонстрирует, как библиотеки ESAPI умнее и, следовательно, более безопасны.
Суть в том, что нет причин использовать HTMLEditFormat () в CF10 +. Для максимальной защиты вы должны заменить функции форматирования на функции кодирования.
Полный пример, приведенный выше, и дополнительные сведения приведены в isummation:http://www.isummation.com/blog/day-2-avoid-cross-site-scripting-xss-using-coldfusion-10-part-1/
что это то же самое, что и функция encodeForHTML в Java-OWASP ESAPI. Более безопасно, чтобы избежать атаки XSS, чтобы использовать контент в HTML.
<cfsavecontent variable="htmlcontent">
<html>
<head>
<script>function hello() {alert('hello')}</script>
</head>
<body>
<a href="#bookmark">Book Mark & Anchor</a><br/>
<div class="xyz">Div contains & here.</div>
<IMG SRC=javascript:alert(&# x27XSS')>
<IMG SRC=javascript:alert('XSS')>
</body>
</html></cfsavecontent>
<cfoutput>#htmleditformat(htmlcontent)#</cfoutput>
<br />
<cfoutput>#encodeforhtml(htmlcontent)#</cfoutput>