Разбираемся, как недоверенный текст становится кодом шаблона, чем SSTI отличается от XSS, какие данные и методы реально достижимы и как устранить инъекцию статическим template source. Практика охватывает custom greeting, stored SSTI, богатый map-контекст и direct email render с HTTP preview.
Различаем SSTI и XSS, а также роли Parse, Execute, text/template и html/template.
Находим недоверенный data-flow в Parse и устраняем его статическим шаблоном с данными через Execute.
Изучаем точный контракт вызываемых методов и ограничение capability graph; практика проверяет stored SSTI и чтение богатого map-контекста.
Разбираем прямой POST source, немедленный Parse/Execute, сохранение rendered emailBody, HTTP preview и отдельный рендеринг MIME-частей.
Собираем модель угроз, проверяем data-flow к Parse и запускаем регрессионный HTTP probe в CI.