Plantillas con escape automático y sus excepciones

Con el escape automático activo, cada {{ variable }} sale codificada para el contexto que el motor tiene configurado, normalmente HTML. Casi todos los motores modernos lo hacen: Twig, Jinja con su opción de autoescape, las plantillas de Django, Blade de Laravel con {{ }}. Eso quita de en medio el olvido, que es la causa más común de XSS.

Lo que no garantiza tiene dos caras. La primera, el contexto: el motor codifica para HTML, y si la variable está dentro de un script, de un estilo o de un atributo sin comillas sigue siendo el contexto equivocado (lo viste en la sala anterior). La segunda, las salidas de escape: cada motor permite desactivarlo, y ahí vuelve la responsabilidad a la persona. En Twig son el filtro raw, el bloque autoescape false, los filtros y funciones registrados con is_safe, los objetos Markup creados en el código y la estrategia name, que elige el escape según la extensión del archivo y no escapa nada en las plantillas .txt.

Abre el laboratorio y lee PortalExtension.php en la carpeta tinajacoa-plantillas. Los tres elementos registrados llevan is_safe => ['html'], lo que le dice a Twig que su resultado ya es HTML seguro y que no lo escape otra vez. Esa declaración solo es verdad si la función escapa por dentro todo lo que viene de fuera. Mira el cuerpo de cada una y, con la segunda búsqueda de excepciones.txt, con qué argumentos se llama.

Lee la primera búsqueda de excepciones.txt y la plantilla del correo al final del mismo archivo. Para cada dato que sale sin escapar por esas excepciones, busca en origen-de-datos.txt quién lo escribe y qué se le hace antes. Una excepción es aceptable cuando el contenido no viene de nadie (textos fijos del código o valores del sistema) o cuando pasó por un sanitizador antes; no lo es cuando lo escribió un socio o un visitante y nadie lo tocó.

La configuración usa la estrategia name, y CorreoAvisos.php envía el resultado de una plantilla como text/html. Las dos decisiones por separado parecen razonables; juntas, una plantilla que Twig trata como texto plano termina interpretada como HTML en el cliente de correo de cada socio.

Quitar las excepciones malas es el arreglo de hoy. Lo que evita la siguiente es una regla del proyecto sobre cuándo se permite desactivar el escape y cómo se nota en una revisión.