escape SSI echo

Sergey Shepelev temotor на gmail.com
Ср Июн 27 16:57:28 UTC 2012


Только двойные кавычки и всё?

2012/6/27 Валентин Бартенев <ne at vbart.ru>:
> On Wednesday 27 June 2012 18:41:26 Sergey Shepelev wrote:
>> В долгом кеше лежит страница вида
>> <html>
>> ...
>> <!--# include virtual="/foo" -->
>> ...
>> Hello, <!--# echo var="name" -->.
>> Your motto:
>> <div class=sig>
>>   <!--# echo var="sig" -->
>> </div>
>> ...
>>
>>
>> По /foo бекенд отдаёт набор SSI директив, типа
>> <!--# set var="name" value="Peter" -->
>> <!--# set var="sig" value="This page is restricted. <p>xxx</p>" -->
>>
>>
>> Значения некоторых переменных задаются доверенными пользователями. То
>> есть HTML допустим, защита от XSS административная. Что нужно
>> эскейпить в переменных, чтобы они не сломали SSI директивы?
>
>
> Кавычки \", если я правильно понял вопрос.
>
> --
> Валентин Бартенев
> _______________________________________________
> nginx-ru mailing list
> nginx-ru at nginx.org
> http://mailman.nginx.org/mailman/listinfo/nginx-ru


Подробная информация о списке рассылки nginx-ru