Fluid-Ausgabe · Frage 11 von 12
Ein Gästebuch gibt Einträge mit <f:format.raw>{entry.text}</f:format.raw> aus. Welche Korrekturen schließen die Lücke?
2 Antworten sind richtig. Schwer
Lösung anzeigen
Lösung
- A {entry.text} ohne raw ausgeben, damit Fluid kodiert
- C Bei gewünschtem Markup f:sanitize.html statt f:format.raw nutzen
Erklärung
Die Ursache ist die rohe Ausgabe. Ohne raw kodiert Fluid, mit dem Sanitizer bleiben nur erlaubte Tags. Eine CSP mildert nur die Folgen und behebt die Lücke nicht.