变量 · 第 11 题，共 12 题
某模板用 {comment -> f:format.raw()} 输出访客评论。风险是什么？
有 1 个正确答案。 困难
显示答案
答案
- C 执行恶意代码（XSS）
解析
f:format.raw 会取消转义。如果评论中包含 <script>，它会未经过滤地进入 HTML。因此用户输入必须转义后输出，Fluid 默认就是这样做的。
变量 · 第 11 题，共 12 题
有 1 个正确答案。 困难
f:format.raw 会取消转义。如果评论中包含 <script>，它会未经过滤地进入 HTML。因此用户输入必须转义后输出，Fluid 默认就是这样做的。