Практический маршрут о единой границе доверия в трёх Node.js-шаблонизаторах. Вы проследите, как пользовательская строка становится исходником шаблона, проверите это в трёх лабораториях и закрепите инвариант защиты — доверенный template source и недоверенный ввод только как данные.
Обзор шаблонизаторов в экосистеме Node.js, принципиальное отличие SSTI от XSS и общая стратегия защиты.
Найдите смешение кода и данных в EJS, проверьте гипотезу самостоятельно и разберите два решения из связанной лаборатории.
Перенесите EJS-инвариант на Nunjucks, не смешивая защиту template source с автоэкранированием вывода или сокращением data-контекста.
Узнайте ту же ошибку за синтаксисом Pug, где недоверенный template source компилируется в JavaScript, а безопасный ввод остаётся значением locals.
Сопоставление доказанных границ source/data и только тех runtime-свойств EJS, Nunjucks и Pug, которые подтверждены их pinned-контрактами — без обещания универсально безопасного движка.
Сначала вы калибруете SAST и active DAST в одном CI pipeline, затем до feedback разбираете незнакомый wrapper и фиксируете собственное решение. Checkpoint удерживает попытку отдельно от следующего за ним причинного разбора.