如何在 HTML 模板中安全地用 `` 替换换行符？-Golang-PHP中文网

如何在 HTML 模板中安全地用 `` 替换换行符？

Linda Hamilton

发布： 2024-11-01 07:46:02

原创

322 人浏览过

How to safely replace newlines with `` in HTML templates?

用
替换换行符在 HTML 模板中

在 HTML 模板中，显示换行符需要一些考虑，因为它们可能会被模板转义为
，导致它们显示为文本 HTML 标签而不是换行符。当加载包含换行符的文本文件并将其传递给 HTML 模板时，这会带来问题。

通常提出的解决方案是将换行符 (n) 替换为
在加载的字符串中。然而，这种方法可能会导致安全漏洞，因为它允许攻击者通过中的 " 字符注入恶意代码，从而逃避 XSS 保护。

一种替代方法是利用 template.HTMLEscape()在执行换行符到
替换之前清理文本。此方法可以转义潜在的危险字符，从而确保模板数据的安全。

以下是演示此技术的示例：

<code class="go">import (
    "html/template"
    "os"
    "strings"
)

const page = `<!DOCTYPE html>\n<html><head></head><body><p>{{.}}</p></body></html>`

const text = `first line
<script>dangerous</script>
last line`

func main() {
    t := template.Must(template.New("page").Parse(page))
    safe := template.HTMLEscapeString(text)
    safe = strings.Replace(safe, "\n", "<br>", -1)
    t.Execute(os.Stdout, template.HTML(safe))
}</code>

登录后复制

执行时，输出将显示为：

<code class="html"><!DOCTYPE html>
<html>
  <head>
  </head>
  <body>
    <p>first line<br><script>dangerous</script><br>last line</p>
  </body>
</html></code>

登录后复制

综上所述，将经过净化的文本传递到 HTML 模板可以有效防止 XSS 漏洞，同时允许正确显示换行符。

以上是如何在 HTML 模板中安全地用 `` 替换换行符？的详细内容。更多信息请关注PHP中文网其他相关文章！