[JSF-7] [Seasar-user:4025] title要素のm:value値がエスケープされない Created: 2006-07-06  Updated: 2006-07-06  Resolved: 2006-07-06

Status: Resolved
Project: S2JSF
Component/s: None
Affects Version/s: 1.0.14
Fix Version/s: 1.1.0-beta-2

Type: Bug Priority: Major
Reporter: manhole Assignee: manhole
Resolution: Fixed Votes: 0
Labels: None
Environment:

S2JSF(1.1.0 beta2 SNAPSHOT)
Teeda(1.0 beta4)



 Description   

S2JSF(1.1.0 beta2 SNAPSHOT)とTeeda(1.0 beta4)を利用しています。

タイトルを動的に変えるために

<title m:value="#{foo.bar}" />

のようにしているのですが、foo.bar の値を「AAA>BBB」のように
セットして実行したところ、

<title>AAA&gt;BBB</title>

でなく

<title>AAA>BBB</title>

のようにそのまま html ソースに出力されて
しまいました。

もしやと思って、foo.bar の値に

</title><script ...

をセットすると、記述したスクリプトが動いてしまいます。

他のタグはどうかと思って、ためしに <span> でもやってみましたが、
そちらは

&lt;/title&gt;&lt;script

のように、変換されていました。
(検証に使った html とソースを添付します)

<title>タグは、意識してサニタイズしないといけないのでしょうか?
また、他にもそのようなタグがあるのでしょうか?



 Comments   
Comment by manhole [ 2006-07-06 ]

titleタグの値をエスケープするようにしました。

Generated at Fri Apr 26 12:19:13 JST 2024 using Jira 9.15.0#9150000-sha1:9ead8528714127d8cfabf2446010d7e62c0a195c.