[JSF-7] [Seasar-user:4025] title要素のm:value値がエスケープされない Created: 2006-07-06  Updated: 2006-07-06  Resolved: 2006-07-06

Status: Resolved
Project: S2JSF
Component/s: None
Affects Version/s: 1.0.14
Fix Version/s: 1.1.0-beta-2

Type: Bug Priority: Major
Reporter: manhole Assignee: manhole
Resolution: Fixed Votes: 0
Labels: None
Environment:

S2JSF(1.1.0 beta2 SNAPSHOT)
Teeda(1.0 beta4)



 Description   

S2JSF(1.1.0 beta2 SNAPSHOT)とTeeda(1.0 beta4)を利用しています。

タイトルを動的に変えるために

<title m:value="#{foo.bar}" />

のようにしているのですが、foo.bar の値を「AAA>BBB」のように
セットして実行したところ、

<title>AAA&gt;BBB</title>

でなく

<title>AAA>BBB</title>

のようにそのまま html ソースに出力されて
しまいました。

もしやと思って、foo.bar の値に

</title><script ...

をセットすると、記述したスクリプトが動いてしまいます。

他のタグはどうかと思って、ためしに <span> でもやってみましたが、
そちらは

&lt;/title&gt;&lt;script

のように、変換されていました。
(検証に使った html とソースを添付します)

<title>タグは、意識してサニタイズしないといけないのでしょうか?
また、他にもそのようなタグがあるのでしょうか?



 Comments   
Comment by manhole [ 2006-07-06 ]

titleタグの値をエスケープするようにしました。

Generated at Tue Apr 15 17:31:16 JST 2025 using Jira 10.5.0#10050000-sha1:9d9d098bb7b67e8dba8da380ba9c3900d82ac3cf.