Utilizzando diversi metodi di escape

Ho notato una classe vendor/magento/framework/Escaper.phpche contiene alcuni utili metodi di sicurezza utilizzati all'interno (principalmente) dei modelli. Alcuni sono abbastanza comuni ( escapeHtml()), ma alcuni sono difficili da incontrare.

1. Quale metodo e escapeXssInUrl()davvero?
2. In caso di metodo escapeJsQuote(): qual è il luogo in cui è possibile trovare queste citazioni? Solo in linea jsnei modelli?
3. Qualcuno ha qualche spiegazione chiara quando tutti i metodi dovrebbero essere usati (esempi pratici)?
4. Qual è la differenza tra escapeUrl()e escapeXssInUrl()e se il secondo ci garantisce una maggiore sicurezza, perché non usare sempre il secondo invece di sfuggire solo ai caratteri html?
5. escapeQuote()dovrebbe essere usato ad esempio per riecheggiare una variabile in una situazione come questa <div value="<?php echo[qui?] $value?>"></div>?

La maggior parte delle funzioni per misure di sicurezza contro gli attacchi XSS.

escapeXssInUrl()Metodo Rimuovere javascript:, vbscript:, data:parole da url e utilizzato come

echo $block->escapeXssInUrl($block->getUrl()) ?>"><?php echo $block->getAnchorTextHtml()

Magento 1 Puoi sfuggire alle virgolette in javascript usando $this->jsQuoteEscape ($item->getName());Mahento 2 puoi fare lo stesso usandoescapeJsQuote

escapeUrl() sfrutta effettivamente htmlspecialchars con i parametri consigliati per sfuggire all'HTML: $result = htmlspecialchars($result, ENT_COMPAT, 'UTF-8', false);

Puoi trovare ulteriori informazioni nella documentazione ufficiale di Magento 2 .

Vi è una voce utile in DevDocs sulla sicurezza dei modelli: misure di sicurezza contro gli attacchi XSS

Ri escapeXssInUrl: La funzione escapeUrlchiama escapeXssInUrlinternamente più escapeHtmlsuccessivamente. Anche Magento utilizza escapeUrlinternamente.

Assicurati di controllare le nuove funzioni di escape una volta Magento 2.2. esce perché ce ne saranno di nuovi in ​​arrivo:

La prossima versione di Magento 2.2 deprecherà queste funzioni.

Ricontrolla questa pagina dopo la versione 2.2 per la documentazione aggiornata sulle nuove funzioni di escape.

E potresti anche essere interessato a dare un'occhiata alla mia presentazione su questo qui: Gestione sicura di input e output - Meet Magento Romania 2016