baseURI | tainting

Александр Петросян (PAF) 25.01.2005 14:11

самым изящным представляется подход с заданием baseURI, как вы правильно думали.

только вместо указания http:// протокола, эффективнее будет указать дисковый путь:

$document[^xdoc::create[$request:document-root]{$body}]

могу ещё добавить, что на этом пути есть засада:
если в index.xml будет код вида

<element attribute='$form:param'/>

а к странице придёт запрос вида
http://server/page.xml?param=1'2

с апострофом, то parser не заменит ' на ', и ваш xml не пройдёт компиляцию в xdoc::create.

поэтому имеет смысл добавить

^xdoc::create{^untaint[xml]{$body}}

---