Discourse.js 和“熟”字符串

Question

我一直在查看 discourse.js 的源代码，这是一个用 Ember/Rails/Postgres 编写的论坛。 我正在研究避免此类应用程序中的 XSS 漏洞的最佳实践。

我注意到 Discourse 使用了“熟”字符串的概念，这些字符串是部分预先转义的字符串，用于诸如帖子正文之类的东西，然后使用三重胡须 ( {{{}}} ) 在 Ember 中显示它们。

然而，在其他情况下，例如帖子标题，Discourse 发送和接收原始的、未转义的字符串，例如“关于标签的这个和那个”，并使用双胡子 { {{}}显示它们。

我对这一切有以下疑问：

(1) Discourse 似乎只在支持 Markdown 的领域使用“cooking”，比如 post body。 烹饪只是一种处理后处理 Markdown 字段的方法，还是也旨在解决 XSS 问题？

(2) 将原始字符串（包括看起来像 HTML 标签或实际上是 HTML 标签的东西）以 JSON 从服务器传递到客户端是否不认为是 XSS 漏洞？ 一些 XSS 嗅探器显然抱怨这些事情，有些人似乎建议在服务器上进行 HTML 实体转义和/或清理。

Answer 1

1) 不完全确定话语在这里做什么。 因为 markdown 是渲染成 HTML 的，所以需要使用未转义的输出。 否则从 Markdown 生成的 HTML 将被转义。 Discourse 似乎在源代码中进行了 html 清理，尽管我不确定何时应用它。

2）我会说不。 JSON 不是可执行格式。 因此，只要将文本视为文本等，就没有问题。 一般来说，不转义服务器端的一个很好的理由是使用本机控件来显示文本的移动应用程序。 单页应用程序和移动应用程序可以使用相同的 JSON api，但移动应用程序不需要转义。 此外，转义需要上下文。 OWASP XSS 预防备忘单定义了一组需要不同转义的上下文。 因此，服务器上的单个转义可能是错误的。