AngularJSとサーバーサイドテンプレートの混在とngNonBindable

Angularとサーバーサイドテンプレートの混在 先日リリースされた某サービス(他社)がAngularを使っていて、XSSがボロボロ出てくるだとか、{{var}} な形式で値を入力するとng-template側でテンプレーティングされるだとかの話がありました。 詳しくは見ていないので、今回の話とまったく同じかは把握していませんが、サーバーサイドテンプレートを混在させると、次のようなことが起こりえます。 例えばejsとAngular サンプルとしてスカスカなControllerを用意します。 angular.module('app', []).controller('AcmeCtrl', function($scope) { $scope.foo = 'bar'; }); ejsは次のようなテンプレートになっているとします。

[gayou]

AngularJSに限らない話だなーと思った。

[KyoheiG3]

AngularJSとサーバーサイドテンプレートの混在とngNonBindable

[efcl]

AngularJSのディレクティブがサーバサイドテンプレートによって混在する。 ユーザーがディレクティブを使えしまうケース

[udzura]

hya-

[ntaoo]

“今回の問題を回避する上で、最も望ましいのはAngularJSとサーバーサイドテンプレーティングを混在させない設計です。”

[side_tana]

まともな状態なら書いてる間にこれヤバイって気づくけど酒飲んでるとか納期が近いとかだと気がつかない可能性ありそうで怖いな

[brtRiver]

サーバー側のテンプレートでjsを動的に生成するとかも混ぜるな危険パターン

[katzchang]

破滅の香りがする

[koba04]

混ぜると辛そう

[t-wada]

クライアントサイドテンプレートとサーバサイドテンプレートを混ぜるとどのような脆弱性が発生しやすいか。例が分かりやすい。

[KinjouJ]

“フロントエンド的に、最も手っ取り早いのは ngNonBindable を利用することです。 ”

[teppeis]

両方使うけど、サーバー側テンプレートはpure HTMLは生成するけど、クライアントテンプレートを生成することは少ない気がする。

[razokulover]

サーバーサイドテンプレを全く使わないとそれはそれで不便になるし、、うん

[Layzie]

面倒そうだ…

[vvakame]

サーバサイドテンプレートかー(もう何年も使ってない