仅在产品中编码的Grails GSP表达式

Question

我试图找出哪个配置导致了我在GrailsV4.0.6中看到的行为。

如果我有一个GSP表达式，例如${myMessage}，并且myMessage包含html标记，例如

然而，如果我部署到生产模式，Grails将对html标记进行编码，因此它不会按预期呈现。我确信这是某个地方的配置，可能与应用程序中的编码或编解码器配置有关。yml，但我没有看到任何明确区分开发模式和生产模式的地方。

我还会注意到，我看到这种情况的时候都是在从我的自定义标签库渲染的模板中使用表达式的时候，比如这样的：

out << render(template:"bookTemplate",model:"[book: myBook]")

我的问题表达式位于\u bookTemplate中。普惠制。我不能说这是唯一发生这种情况的场景。




Answer 1

https://docs.grails.org/4.0.6/guide/single.html#xssPrevention

默认情况下，Grails很安全，并在GSP中转义${}表达式中的所有内容。默认情况下，所有标准GSP标记都是安全的，可以转义任何相关的属性值。

那么，当您想阻止Grails转义某些内容时会发生什么呢？只要该内容是受信任的，就有将超文本标记语言放入数据库并按原样呈现的有效用例。在这种情况下，您可以告诉Grails内容是安全的，应该以原始方式呈现，即没有任何转义：

<代码>

您在这里看到的raw（）方法可以从控制器、标记库和GSP页面获得。

之后：

GSP具有自动对GSP表达式进行HTML编码的能力，从Grails 2.3开始，这是默认配置。新创建的Grails应用程序的默认配置（位于application.yml中）如下所示：

 grails:
    views:
        gsp:
            encoding: UTF-8
            htmlcodec: xml # use xml escaping instead of HTML4 escaping
            codecs:
                expression: html # escapes values inside ${}
                scriptlets: html # escapes output from scriptlets in GSPs
                taglib: none # escapes output from taglibs
                staticparts: none # escapes output from static template parts

GSP具有几个编解码器，它在将页面写入响应时使用。编解码器在编解码器块中配置，如下所述：

expression - The expression codec is used to encode any code found within ${..} expressions. The default for newly created application is html encoding.

scriptlet - Used for output from GSP scriplets (<% %>, <%= %> blocks). The default for newly created applications is html encoding

taglib - Used to encode output from GSP tag libraries. The default is none for new applications, as typically it is the responsibility of the tag author to define the encoding of a given tag and by specifying none Grails remains backwards compatible with older tag libraries.

staticparts - Used to encode the raw markup output by a GSP page. The default is none.