[ruby-list:49886] Re: テンプレートシステムを安全に使う

At Mon, 07 Jul 2014 12:25:55 +0900,
5.5 wrote:
> しかし，テンプレートシステムなので，任意の Ruby コードを書くことができ
> てしまいます。
> 自分だけ，あるいは仲間内でだけ書くならいいですが，匿名参加可能な多人数
> のプロジェクトだと，これって危険ですよね。
>
> どうにか安全にする方法ってあるんでしょうか？
>
> なんというか…たとえばテンプレート中で何をやっても，影響を封じ込める仕
> 組みとか，Haml や Slim のサブセットみたいなものを作って，やれることを
> 制限しちゃうとか。
> いろいろ想像したのですが，自分にできそうなことは思いつきませんでした。

そうした用途には Liquid や Mustache が向いていると思います。

前者は Shopify がASP提供するショッピングカートシステム用に設計されたも
ので、ユーザに十分なデザインの自由を与えつつ、負荷やセキュリティ面でま
ずいことをされないように十分考慮されています。多機能で拡張性も高く、ア
プリケーション固有のニーズやコンテキストに沿ってカスタマイズ可能です。

	http://liquidmarkup.org/

後者は Logic-less templates の名前の通り、YAMLやJSONで表現できるような
データ構造の参照と簡単な真偽判定くらいに機能が限定されています。ミニマ
リスト向け。やっぱりロジックが欲しい、というときはHandlebarsという拡張
を追加する感じ。

	http://mustache.github.io/

どちらもRubyコミュニティから生まれたものですが、他言語による実装も豊富
なので、安心して使えると思います。

--
Akinori MUSHA / https://akinori.org/