Безопасно ли давать пользователю возможность редактировать шаблон Marko?

Я хочу сделать шаблон marko редактируемым клиентами. Я знаю, что пользователь может добавлять сценарии и выпуск XSS. Вопрос о server side,

Если я запускаю шаблон marko из nodejs, и шаблон пришел от одного пользователя. Возможно ли, что шаблон будет проверять вредоносный код на сервере?

Другими словами: как я могу предупредить пользователя от такого:

<if test="require('readFileSync').deleteAllMyFile...">
   Hi
</if>
Источник

1 ответ

Решение

Marko допускает произвольный код JavaScript внутри шаблонов по дизайну (по соображениям производительности). На данный момент это делает скомпилированные шаблоны Marko непригодными для использования в ситуациях, когда шаблоны не являются доверенными. Однако, поскольку это происходило несколько раз, мы изучаем возможность сделать скомпилированные шаблоны безопасными, загрузив их в песочницу. Вы можете следить за этим обсуждением в рамках следующего выпуска Github: https://github.com/marko-js/marko/issues/192

Источник
Другие вопросы по тегам