security - 为什么grails.views.default.codec不默认为 “html”？

Question

Grails Config.groovy设置grails.views.default.codec指定用于在Grails View 中的${...}中对数据进行编码的默认编解码器。

此配置设置可以采用none(无需过滤)，html(避免XSS攻击)和base64(没有我所知的实际用例)中的任何值。

Grails的默认值为none(不过滤)。

问题:

是否有任何令人信服的技术理由不使用更安全的选项“html”？

您何时选择在Grails项目中使用默认选项“none”？

Answer 1

有关类似主题here.的问题。我没有在这方面要求专业知识，但是我想。为什么默认情况下不是html对我来说很奇怪。我找到了GRAILS-2945，它是在这里提出的，但最终被拒绝了，没有太多的解释。首次实现此问题时，GRAILS-1827中还提供了更多信息。