Форум Сайтостроение Веб-строительство

Зачем использовать esc_html_e(), там где пользователи ничего не вводят, в WordPress?

Dmitriy_2014
На сайте с 01.07.2014
Offline
344
Dmitriy_2014
287

Всем привет!

Понятно, что это используется для защиты от XSS, межсайтового скриптинга, и преобразования спецсимволов на HTML сущности и т.п.

Но зачем это делать допустим в месте где пользователи не могут вводить данные или изменять текст на странице, то есть, ну, например, для вывода текста на странице 404.php, для информирования пользователя о несуществующей странице в виде обычного текста в котором точно нет спецсимволов:

<?php esc_html_e( 'Not Found, Error 404', '90s-retro' ); ?>

Это типа защита не от пользователей, а от разработчиков, чтобы случайно не вывести спецсимволы в html код, создав потенциальную угрозу для XSS атаки?

Есть ли в этом смысл если ты на 100% уверен в выводе текста, который не содержит спецсимволов?

Заранее всем спасибо за ответы!


B
На сайте с 10.04.2011
Offline
127
bitl
#1
Dmitriy_2014 :

Есть ли в этом смысл если ты на 100% уверен в выводе текста, который не содержит спецсимволов?

Нет. 

PS: И XSS-атаку не проведешь просто из-за того что у тебя там какие-то спец-символы не экранируются, просто верстку может попячить.

I1
На сайте с 31.07.2023
Offline
37
Ivanov123
#2
 Это просто хороший тон - вводить текст через одну точку вывода. Предотвращает возможные ситуации, когда кто-то из разработчиков добавит в текст символы, требующие экранирования. 

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий