lostecho/build-web-application-with-golang
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

update some words in 4.*md and 5.1md

Browse Source
This commit is contained in:
chenwenli
2012-11-04 22:17:35 +08:00
parent f7b3d6cd51
commit 27ed9d7493
6 changed files with 55 additions and 48 deletions
Download Patch File Download Diff File Expand all files Collapse all files

8
4.3.md
View File

@@ -2,9 +2,9 @@
现在的网站包含大量的动态内容以提高用户体验，比过去要复杂得多。所谓动态内容，就是根据用户环境和需要，Web应用程序能够输出相应的内容。动态站点会受到一种名为“跨站脚本攻击”（Cross Site Scripting, 安全专家们通常将其缩写成 XSS）的威胁，而静态站点则完全不受其影响。
攻击者通常会在有漏洞的程序中插入JavaScript、VBScript、 ActiveX或Flash以欺骗用户。一旦得手，他们可以盗取用户帐户，修改用户设置，盗取/污染cookie，做虚假广告等。
攻击者通常会在有漏洞的程序中插入JavaScript、VBScript、 ActiveX或Flash以欺骗用户。一旦得手，他们可以盗取用户帐户信息，修改用户设置，盗取/污染cookie和植入恶意广告等。
对XSS最佳的防护应该结合以下两种方法：验证所有输入数据，有效检测攻击(这个我们前面小节已经有过介绍);对所有输出数据进行适当的编码，以防止任何已成功注入的脚本在浏览器端运行。
对XSS最佳的防护应该结合以下两种方法：一是验证所有输入数据，有效检测攻击(这个我们前面小节已经有过介绍);另一个是对所有输出数据进行适当的处理，以防止任何已成功注入的脚本在浏览器端运行。
那么Go里面是怎么做这个有效防护的呢？Go的html/template里面带有下面几个函数可以帮你转义
@@ -23,7 +23,7 @@
![](images/4.3.escape.png?raw=true)
那么我们在输出我们的模板的时候怎么处理的呢？Go的html/template包默认帮你过滤了html元素，但是有时候你又想输出这样的信息，请使用text/template。请看下面的例子所示
Go的html/template包默认帮你过滤了html标签，但是有时候你只想要输出这个`<script>alert()</script>`看起来正常的信息，该怎么处理？请使用text/template。请看下面的例子：
import "text/template"
...
@@ -45,7 +45,7 @@
Hello, <script>alert('you have been pwned')</script>!
转换成template.HTML后，变量的内容也不会被转义
转换成`template.HTML`后，变量的内容也不会被转义
转义的例子：