표현식마다 허용하는 책임이 다르다
값 출력과 URL 생성, 제한 HTML 삽입을 같은 표현식으로 취급하지 않는다.
| 목적 | 도구 | 안전 조건 |
|---|---|---|
| 일반 text | th:text | 기본 escaping |
| 내부 route | URL expression | parameter encoding |
| 제한 HTML | th:utext | allowlist sanitizer 결과 |
값 출력과 URL 생성, 제한 HTML 삽입을 같은 표현식으로 취급하지 않는다.
| 목적 | 도구 | 안전 조건 |
|---|---|---|
| 일반 text | th:text | 기본 escaping |
| 내부 route | URL expression | parameter encoding |
| 제한 HTML | th:utext | allowlist sanitizer 결과 |