nicht angemeldet
Hello,
Bei Verwenung "aktiver Templates" findet keine strikte Trennung von Formatbeschreibung (HTML) und Programmfluss statt.
Stimmt. Ist das aber eine Forderung des Projekts?
Wenn es keine Anfroderung des Projektes wäre, würde sich Hotti doch nicht damit beschäftigen, noch ein weiteres nutzloses Templatesystem zu entwickeln, oder? *gg*
Welches Template darf denn bei Dir der Backendsystem-User[1] selber anfertigen?
Alle. Template-Ersteller sind bei mir vertrauenswürdig. Wenn sie es nicht sind, bekommen sie ein CMS und maximal Zugriff auf die CSS-Ressourcen.
Genau: CMS. Und auch in einem CMS sollte man die Möglichkeit haben, eigene Templates zu gestalteten, ohne damit Zugriff auf den Progammablauf zu bekommen.
Es geht nur mit PLATZHALTERN anstelle von VARIABLEN.[2]
(Fußnote fehlt.) Ansonsten: ja, wenn man kein Vertrauensverhältnis aufbauen kann. Wie kommt dann aber das Template ins System und welche Risiken bestehen dabei?
Keine, die den Server kompromittieren würden. Diejeneigen, die am Client irgendwelchen Blödsinn verursachen, hat man durch diese Art der Trennung noch nicht automatisch verhindert. Da muss man nach Laden des Templates (das übrigens von überall her kommen darf) auch noch aktiv filtern. also z.B. JavaScript ausfiltern oder bestimmte Anweisungen im CSS verhindern (url(), ...).
Wenn man es braucht.
Sonst nimmt man eins von den Hunderten fertiger Systeme...
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
