^taint[uri] и /

G_Z 10.06.2014 13:01 / 10.06.2014 21:29

В документации для ^taint[uri] указано, что

символы за исключением цифр, строчных и прописных латинских букв, а также следующих символов: _ - . "
преобразуется в %XX где XX - код символа в шестнадцатеричной форме

Однако, / тоже не заменяется на %2F, чего не указано.

Это логично, если рассматривать помечаемое как полный URI, но нелогично, если красить сегмент URI.

Быть может стоит добавить ещё один вид покраски — uri-component, который будет маркировать и /?
Дабы не городить заборов с таблицами символов и пляской с кодировками.
Можно, конечно, делать apply-taint с последующей заменой слеша, но как-то неаккуратно.

По аналогии с JS: encodeURI / decodeURI / encodeURIComponent / decodeURIComponent.

---