Go 1.20.4 发布了

polaris · · 3354 次点击 · 开始浏览    置顶
这是一个创建于 的主题,其中的信息可能已经有所发展或是发生改变。

大家好,我们劳动节放假期间,Go 官方又发布新版本了。这次的版本更新依然是安全更新,同样是两个版本:Go1.20.4 和 Go1.19.9。主要包含 3 个安全更新,都是 html/template 包的。 - html/template: CSS 值的不正确清理 插入 CSS 上下文时,尖括号 (<>) 不被视为危险字符。如果使用不受信任的输入执行,包含由 “/” 字符分隔的多个操作的模板可能会导致意外关闭 CSS 上下文并允许注入意外的 HMTL。 issue 详见:<https://go.dev/issue/59720> - html/template: JavaScript 空格处理不当 并非所有有效的 JavaScript 空白字符都被视为空白。在还包含操作的 JavaScript 上下文中,包含字符集“\t\n\f\r\u0020\u2028\u2029”之外的空白字符的模板在执行期间可能无法正确清理。 issue 详见:<https://go.dev/issue/59721> - html/template: 对空 HTML 属性的不当处理 由于 HTML 规范化规则,使用空输入执行的未加引号的 HTML 属性(例如“attr={{.}}”)中包含操作的模板可能会导致在解析时产生意外结果的输出。这可能允许将任意属性注入到标签中。 issue 详见:<https://go.dev/issue/59722> 如果你使用了 html/template 包,建议进行升级。 可以使用官方推荐的方式升级,也可以用你喜欢的方式升级,亦或到 Go语言中文网 <https://studygolang.com/dl> 下载最新的包。

有疑问加站长微信联系(非本文作者)

入群交流(和以上内容无关):加入Go大咖交流群,或添加微信:liuxiaoyan-s 备注:入群;或加QQ群:692541889

3354 次点击  
加入收藏 微博
4 回复  |  直到 2023-05-09 15:51:36
暂无回复
添加一条新回复 (您需要 登录 后才能回复 没有账号 ?)
  • 请尽量让自己的回复能够对别人有帮助
  • 支持 Markdown 格式, **粗体**、~~删除线~~、`单行代码`
  • 支持 @ 本站用户;支持表情(输入 : 提示),见 Emoji cheat sheet
  • 图片支持拖拽、截图粘贴等方式上传