Tôi có chức năng trộn thư giống như một mẫu, một số đối tượng kinh doanh và tạo ra html sau đó được tạo thành PDF.Làm thế nào nguy hiểm là nó cho phép người dùng xác định các mẫu RazorEngine?
Tôi đang sử dụng RazorEngine để làm mẫu + mẫu thành bit html.
Nếu tôi cho phép người dùng chỉ định các mẫu, tôi đang có những rủi ro gì? Có thể giảm thiểu rủi ro không?
Ví dụ: người dùng có thể thực thi mã tùy ý không? (xóa các tập tin, thay đổi cơ sở dữ liệu, vv?) Có cách nào tôi có thể phát hiện loại điều này? (Tôi biết rằng sẽ là không thể nói chung, nhưng các bit của mã trong mẫu dao cạo nên được mô hình tài sản được, hoặc có thể nếu báo cáo dựa trên các giá trị tài sản mô hình).
Tôi thực sự tin tưởng người dùng ở đây (đó là một dự án riêng tư nhỏ), nhưng khi động cơ templating đi, điều này có vẻ quá mạnh mẽ cho ứng dụng này.
Cảm ơn. Tôi đang tìm nơi khác cho một động cơ templating bây giờ.Nó đã cảm thấy như Razor không an toàn trong ứng dụng này, nhưng tôi đã không tìm thấy bất cứ ai làm cảnh báo này (và có rất nhiều bài viết về cách sử dụng nó để kết hợp thư). – Greg