HTMLEditFormat语法问题 - XSS

Question

我试图在我的代码中处理一些可能的XSS漏洞并遇到了一些问题。

此代码不起作用（第297行） - 语法错误：

#iif(HTMLEditFormat (not url.excludeFinalized),de(" disabled"),de("")) )#

此代码有效（第298行）：

#iif(HTMLEditFormat(url.excludeFinalized),de(" checked"),de("")) )#

这个“不是”让我搞砸了 - 我如何正确地将HTMLEditFormat放到上面或下面的代码中？

#iif(not subgroupExercisesDone and nodeIsRollup,de("disabled"),de(""))#

感谢您的帮助。我将不胜感激！

Answer 1

我相信你需要这个改变：

#iif((not url.excludeFinalized),de(HTMLEditFormat(" disabled")),de("")) )#

您的原始代码围绕条件包装HTMLEditFormat。并且不需要HEF（）和空字符串，因此您仍然只使用一次HTMLEditFormat。说实话，我认为你根本不需要HTMLEditFormat。

我想。我自己没有测试过。

Answer 2

你不能把NOT放在函数调用中。

这更符合你的目的。

#iif(NOT HTMLEditFormat(url.excludeFinalized),de(" disabled"),de("")))#

但如果HTMLEditFormat(url.excludeFinalized)无法解析为布尔值，则会出现运行时错误。