テンプレートに埋め込まれたクリスタル変数

Question

私はクリスタルを初めて使っています（実際にはルビーを使ったことはありません）。私はecr docsを見ましたが、そこに答えが見つからないようです。

Kemalの動的テンプレートに埋め込みCrystalを使用しています。確認できますか？テンプレートは呼び出しのスコープで使用可能な変数のみをレンダリングすることができますか、テンプレート自体からメソッド/関数呼び出しを行うことはできますか？ I.テンプレート内から "悪意のある"クリスタルコードを実行する可能性/危険性があります（この場合悪意のあるものはI/Oやファイルへのアクセスなどを指します）。ケマルのドキュメントから例を取るために

：ビューhello.ecrで

get "/:name" do |env| 
    name = env.params.url["name"] 
    render "src/views/hello.ecr" 
end 

は - nameテンプレートで利用できるようになります唯一の項目である、または1つは、例えば、テンプレート内からFile.delete("./foo")を呼ぶだろうか？

Answer 1

テンプレートがCrystalコードにコンパイルされている場合は、テンプレート内に<% File.delete("./foo") %>と書くと、File.delete("./foo")のように任意の種類のコードを書くことができます。

nameにコードが含まれていて、何とか実行されてしまうことが心配ならば、それは起こりそうにないと心配しないでください。 Crystalでの動的ランタイムコードの実行は不可能なので、誰かがあなたのテンプレートに悪質なコードを挿入する方法はありません。