Il mio sito consente agli utenti di creare modelli HTML personalizzati per i loro profili (molto simili a Tumblr e al sistema a tema), e ho scelto il motore di template di Twig per il sito.
Tuttavia, non sono sicuro che sia una buona idea dare agli utenti il controllo di poter accedere a un motore di template.
Questa è una brutta cosa? Come dovrei limitare l'accesso o dovrei semplicemente ripensare totalmente alla strategia?
Secure: Twig has a sandbox mode to evaluate untrusted template code. This allows Twig to be used as a template language for applications where users may modify the template design.
e più in basso:
Sandboxing: Twig can evaluate any template in a sandbox environment where the user has access to a limited set of tags, filters, and object methods defined by the developer. Sandboxing can be enabled globally or locally for just some templates:
{{ include('page.html', sandboxed = true) }}
Quindi, tutto ciò che devi fare è sandbox per i modelli utente e dovresti stare bene
Leggi altre domande sui tag security server-security templates code-security