应该是encodeForHtml()& encodeForURL()从CF10开始使用,有利于htmlEditFormat()&网址格式()?

时间:2012-05-15 16:24:56

标签: security coldfusion coldfusion-10 esapi

在之前的问题encodeForHtml() vs htmlEditFormat(), how are they different中,它似乎是新的encodeForHtml()& encodeForURL()功能优于htmlEditFormat()&分别为urlFormat()

基于esapi的encodeForXXX函数是否应该用于现有的?是否应弃用2个旧功能?

谢谢。

3 个答案:

答案 0 :(得分:3)

我不知道这两个旧功能是否会被弃用。但我会说使用新函数是个好主意,除非你需要支持向后兼容性。

答案 1 :(得分:3)

新功能涵盖了旧功能所具有的所有领域,而且他们更加“意识到”不完全逃脱加价的最新潜在风险。鉴于存在新函数,我认为没有理由使用旧函数。

至于弃用,我全力以赴。如果encodeForHtml() - 例如 - 比htmlEditFormat()更好/更安全,那么最好不要将后者标记为过时并且应该使用新函数。在最坏的情况下,不要这样做是疏忽的。

我会敦促Adobe在文档中将htmlEditFormat()等标记为已弃用,并建议原因。我不建议他们在这一点上采取任何进一步的弃用。

答案 2 :(得分:0)

<强> New in ColdFusion 11

  

已弃用

     

HTMLEditFormat()函数已被弃用。