bio/vue-template-compiler-patchedCompilateur de templates Vue 2.7.16 patché avec des corrections pour CVE‑2024‑6783 et CVE-2024-9506
Une version corrigée sur le plan de la sécurité de vue-template-compiler pour corriger la vulnérabilité de pollution de prototype (CVE-2024-6783) et la vulnérabilité ReDoS (CVE-2024-9506).
Basé sur [email protected]. Le développement et les problèmes se trouvent dans vue-patched.
Si vous utilisez la version complète de Vue (runtime + compilateur) ou le CDN vue.js, remplacez également vue par vue-patched.
Ce paquet peut être utilisé pour précompiler des templates Vue 2.0 en fonctions de rendu afin d'éviter la surcharge de compilation à l'exécution et les restrictions CSP. Dans la plupart des cas, vous devriez l'utiliser avec vue-loader ; vous n'en aurez besoin séparément que si vous écrivez des outils de build avec des besoins très spécifiques.
Choisissez l'approche d'installation qui vous convient le mieux.
Installe le compilateur corrigé sous le nom d'origine vue-template-compiler, de sorte que les dépendances de pair restent satisfaites et que les résolutions de paquets existantes continuent de fonctionner (par exemple dans @vue/test-utils).
npm install vue-template-compiler@npm:vue-template-compiler-patched@^2.7.16-patch.3 --save-dev
pnpm add vue-template-compiler@npm:vue-template-compiler-patched@^2.7.16-patch.3 --save-dev
yarn add vue-template-compiler@npm:vue-template-compiler-patched@^2.7.16-patch.3 --dev
Installe le compilateur sous le nom vue-template-compiler-patched. Utilisez cette méthode si vous avez uniquement besoin d'un accès direct à la version corrigée. Les outils qui résolvent vue-template-compiler par nom de paquet ne le détecteront pas.
npm install vue-template-compiler-patched --save-dev
pnpm add vue-template-compiler-patched --save-dev
yarn add vue-template-compiler-patched --dev
import compiler from 'vue-template-compiler-patched'
// or: const compiler = require('vue-template-compiler-patched')
Compile une chaîne de modèle et renvoie le code JavaScript compilé. Le résultat renvoyé est un objet au format suivant :
{
ast: ?ASTElement, // parsed template elements to AST
render: string, // main render function code
staticRenderFns: Array<string>, // render code for static sub trees, if any
errors: Array<string> // template syntax errors, if any
}
Notez que le code de la fonction retournée utilise with et ne peut donc pas être utilisé en mode strict.
outputSourceRange nouveau dans 2.6
booleanfalseDéfinir cette option à true fera en sorte que les errors retournées dans le résultat compilé deviennent des objets de la forme { msg, start, end }. Les propriétés start et end sont des nombres qui marquent la plage de code de la source de l'erreur dans le template. Cela peut être transmis à l'API compiler.generateCodeFrame pour générer un cadre de code pour l'erreur.
whitespace
string'preserve' | 'condense''preserve'La valeur par défaut 'preserve' gère les espaces blancs comme suit :
Si défini à 'condense' :
L'utilisation du mode condense produira une taille de code compilé plus petite et des performances légèrement améliorées. Cependant, elle produira des différences visuelles mineures de mise en page par rapport au HTML brut dans certains cas.
Cette option n'affecte pas la balise <pre>.
Exemple :
<!-- source -->
<div>
<span>
foo
</span> <span>bar</span>
</div>
<!-- whitespace: 'preserve' -->
<div> <span>
foo
</span> <span>bar</span> </div>
<!-- whitespace: 'condense' -->
<div><span> foo </span> <span>bar</span></div>
modules
Il est possible de s'interfacer avec le processus de compilation pour prendre en charge des fonctionnalités de template personnalisées. Toutefois, attention : en injectant des modules de compilation personnalisés, vos templates ne fonctionneront pas avec d'autres outils de build reposant sur les modules intégrés standard, par exemple vue-loader et vueify.
Un tableau de modules de compilation. Pour plus de détails sur les modules de compilation, consultez le type ModuleOptions dans les déclarations flow et les modules intégrés.
directives
Un objet dont la clé est le nom de la directive et la valeur est une fonction qui transforme un nœud AST de template. Par exemple :
compiler.compile('<div v-test></div>', {
directives: {
test (node, directiveMeta) {
// transform node based on directiveMeta
}
}
})
Par défaut, une directive de compilation extraira la directive et la directive ne sera pas présente à l'exécution. Si vous souhaitez que la directive soit également gérée par une définition d'exécution, retournez true dans la fonction de transformation.
Reportez-vous à l'implémentation de certaines directives de compilation intégrées.
preserveWhitespace Déprécié depuis 2.6
booleantruePar défaut, la fonction de rendu compilée préserve tous les caractères d'espacement entre les balises HTML. Si elle est définie sur false, les espaces entre les balises seront ignorés. Cela peut entraîner des performances légèrement meilleures mais peut affecter la mise en page des éléments en ligne.
Semblable à compiler.compile, mais retourne directement des fonctions instanciées :
{
render: Function,
staticRenderFns: Array<Function>
}
Ceci n'est utile qu'à l'exécution avec des builds préconfigurés, donc il n'accepte aucune option de compilation. De plus, cette méthode utilise new Function() et n'est donc pas conforme à la CSP.
2.4.0+
Identique à compiler.compile mais génère du code de fonction de rendu spécifique au SSR en optimisant certaines parties du template en concaténation de chaînes afin d'améliorer les performances du SSR.
Ceci est utilisé par défaut dans vue-loader@>=12 et peut être désactivé à l'aide de l'option optimizeSSR.
2.4.0+
Identique à compiler.compileToFunction mais génère du code de fonction de rendu spécifique au SSR en optimisant certaines parties du template en concaténation de chaînes afin d'améliorer les performances du SSR.