Skip to content
体验新版
项目
组织
正在加载...
登录
切换导航
打开侧边栏
looyolo
scrapy
提交
c2a424da
S
scrapy
项目概览
looyolo
/
scrapy
与 Fork 源项目一致
从无法访问的项目Fork
通知
2
Star
0
Fork
0
代码
文件
提交
分支
Tags
贡献者
分支图
Diff
Issue
0
列表
看板
标记
里程碑
合并请求
0
Wiki
0
Wiki
分析
仓库
DevOps
项目成员
Pages
S
scrapy
项目概览
项目概览
详情
发布
仓库
仓库
文件
提交
分支
标签
贡献者
分支图
比较
Issue
0
Issue
0
列表
看板
标记
里程碑
合并请求
0
合并请求
0
Pages
分析
分析
仓库分析
DevOps
Wiki
0
Wiki
成员
成员
收起侧边栏
关闭侧边栏
动态
分支图
创建新Issue
提交
Issue看板
体验新版 GitCode,发现更多精彩内容 >>
提交
c2a424da
编写于
4月 05, 2014
作者:
C
Claudio Salazar
浏览文件
操作
浏览文件
下载
电子邮件补丁
差异文件
Fixed XML selector against XXE attacks
上级
43217fd6
变更
2
隐藏空白更改
内联
并排
Showing
2 changed file
with
16 addition
and
1 deletion
+16
-1
scrapy/selector/unified.py
scrapy/selector/unified.py
+6
-1
scrapy/tests/test_selector.py
scrapy/tests/test_selector.py
+10
-0
未找到文件。
scrapy/selector/unified.py
浏览文件 @
c2a424da
...
@@ -15,11 +15,16 @@ from .csstranslator import ScrapyHTMLTranslator, ScrapyGenericTranslator
...
@@ -15,11 +15,16 @@ from .csstranslator import ScrapyHTMLTranslator, ScrapyGenericTranslator
__all__
=
[
'Selector'
,
'SelectorList'
]
__all__
=
[
'Selector'
,
'SelectorList'
]
class
SafeXMLParser
(
etree
.
XMLParser
):
def
__init__
(
self
,
*
args
,
**
kwargs
):
super
(
SafeXMLParser
,
self
).
__init__
(
*
args
,
resolve_entities
=
False
,
**
kwargs
)
_ctgroup
=
{
_ctgroup
=
{
'html'
:
{
'_parser'
:
etree
.
HTMLParser
,
'html'
:
{
'_parser'
:
etree
.
HTMLParser
,
'_csstranslator'
:
ScrapyHTMLTranslator
(),
'_csstranslator'
:
ScrapyHTMLTranslator
(),
'_tostring_method'
:
'html'
},
'_tostring_method'
:
'html'
},
'xml'
:
{
'_parser'
:
etree
.
XMLParser
,
'xml'
:
{
'_parser'
:
Safe
XMLParser
,
'_csstranslator'
:
ScrapyGenericTranslator
(),
'_csstranslator'
:
ScrapyGenericTranslator
(),
'_tostring_method'
:
'xml'
},
'_tostring_method'
:
'xml'
},
}
}
...
...
scrapy/tests/test_selector.py
浏览文件 @
c2a424da
...
@@ -332,6 +332,16 @@ class SelectorTestCase(unittest.TestCase):
...
@@ -332,6 +332,16 @@ class SelectorTestCase(unittest.TestCase):
div_class
=
x
.
xpath
(
'//div/@class'
)
div_class
=
x
.
xpath
(
'//div/@class'
)
self
.
assertTrue
(
all
(
map
(
lambda
e
:
hasattr
(
e
.
_root
,
'getparent'
),
div_class
)))
self
.
assertTrue
(
all
(
map
(
lambda
e
:
hasattr
(
e
.
_root
,
'getparent'
),
div_class
)))
def
test_xml_entity_expansion
(
self
):
malicious_xml
=
'<?xml version="1.0" encoding="ISO-8859-1"?>'
\
'<!DOCTYPE foo [ <!ELEMENT foo ANY > <!ENTITY xxe SYSTEM '
\
'"file:///etc/passwd" >]><foo>&xxe;</foo>'
response
=
XmlResponse
(
'http://example.com'
,
body
=
malicious_xml
)
sel
=
self
.
sscls
(
response
=
response
)
self
.
assertEqual
(
sel
.
extract
(),
'<foo>&xxe;</foo>'
)
class
DeprecatedXpathSelectorTest
(
unittest
.
TestCase
):
class
DeprecatedXpathSelectorTest
(
unittest
.
TestCase
):
...
...
编辑
预览
Markdown
is supported
0%
请重试
或
添加新附件
.
添加附件
取消
You are about to add
0
people
to the discussion. Proceed with caution.
先完成此消息的编辑!
取消
想要评论请
注册
或
登录