Otomatik Kaçışın Kapatılması (ARCH7134)

Anahtar php.security.disabled-auto-escape · Önem warning · Kategori security · CWE CWE-79

Twig gibi şablon motorlarında otomatik kaçışı kapatmak, render edilen tüm çıktının varsayılan XSS korumasını kaldırır. Güvenilmeyen veri ham olarak HTML’e yazılınca cross-site scripting oluşur.

Hatalı

<?php
$twig = new \Twig\Environment($loader, [
    'autoescape' => false, // tüm çıktı kaçışsız
]);
echo $twig->render('profile.html', ['bio' => $userBio]);

Doğru

<?php
$twig = new \Twig\Environment($loader, [
    'autoescape' => 'html',
]);
echo $twig->render('profile.html', ['bio' => $userBio]);

Düzeltme

Otomatik kaçışı global olarak açık tutun; yalnızca gerçekten gerekli, doğrulanmış parçalar için yerel |raw kullanın.