Встроенные переменные кристалла в шаблонах

Question

Я новичок в Crystal (и никогда не использовал рубин), поэтому приношу извинения за незнание здесь! Я посмотрел на ecr docs, но, похоже, не нашел ответа.

Я ищу использование встроенного кристалла для динамических шаблонов в Kemal. Могу ли я подтвердить - могут ли шаблоны отображать только переменные, доступные в области вызова, или же можно вызвать вызовы метода/функции из самого шаблона? И.Е. есть ли вероятность/риск возможности выполнить «вредоносный» хрустальный код из шаблона (в этом случае вредоносное относится к вводу-выводу или доступу к файлам и т. д.)?

Возьмем пример из документации Кемаль:

get "/:name" do |env| 
    name = env.params.url["name"] 
    render "src/views/hello.ecr" 
end 

По мнению hello.ecr - это name единственный элемент, который будет доступен в шаблоне, или может один вызов File.delete("./foo") в шаблоне, например?

Answer 1

Шаблон скомпилирован в код Crystal, вы можете написать любой код, например File.delete("./foo"), например, если вы напишете <% File.delete("./foo") %> внутри вашего шаблона.

Если вы беспокоитесь, что name будет содержать код, который каким-то образом будет выполнен, то не беспокойтесь, это не произойдет. Выполнение динамического исполнения во время выполнения Crystal невозможно, поэтому некому вводить вредоносный код в ваши шаблоны.