新Grails 2.3.7應用程序忽略了<％=％>

Question

我正在編寫一個新的grails 2.3.7應用程序，並且試圖使用<％=％>來避免html對域類字段進行編碼。

由於某種原因，grails忽略了這一點，無論如何都對其進行編碼。

舉個例子

<%="<h2>FOO</h2>"%>

只是渲染為

<h2>FOO</h2>

而不是預期的2級標頭。

Answer 1

這不是錯誤，而是事實上Grails的自動XSS攻擊防御功能。 請參閱http://grails.org/doc/latest/guide/security.html#xssPrevention

您要執行的操作將輸出標記為原始：

<%=raw("<h2>FOO</h2>")%>

但是，請注意，應格外小心，因為您可能會使應用程序面臨XSS攻擊的風險。