編集者が Web コンテンツ フィールドに実行可能コードを挿入するのを防ぐことはできますか?

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• Web コンテンツ テンプレートを介して Web コンテンツ用に保存されたテキスト フィールドをレンダリングすると、エディターが次のような実行可能コードを導入した場合、結果のマークアップで望ましくないコードが実行される可能性があります。
  • <img src=x onerror=alert("Hello")>

Environment

• Liferay DXP 7.0+

解決策

• これは、ユーティリティ クラス $htmlUtilを使用することで簡単に防ぐことができます。
• $htmlUtil 保存されたテキストをエスケープできる $htmlUtil.escape()のようなメソッドが含まれています。

追加情報

• Fragments の関連記事: Escaping Fragment Configuration Text Values