Yii2 Как в label вывести иконку?

Question

[DragonChris]

Нужно чтоб в хлебных крошках, ссылка на гланую была иконкой, encodeLabels выставил в false но выводится просто мой тег . Подскажите что не так делаю. Заранее спасибо.

$this->params['breadcrumbs'][] =  [
    'template' => "<li>{link}</li>\n",   
    'label' => 'Objects',
    'url' => ['/objects'],
    'encodeLabels' => false
];

Вывожу:

<?= Breadcrumbs::widget(['homeLink' => ['label' => "<i class=\"fa fa-home\" aria-hidden=\"true\"></i>"],'links' => isset($this->params['breadcrumbs']) ? $this->params['breadcrumbs'] : [], ]); ?>

Answer 1

[Максим Тимофеев]

encodeLabels

<?= Breadcrumbs::widget([
'encodeLabels' => false,

Comments

[DragonChris]

Спасибо

[Максим Тимофеев]

DragonChris: заходите

[Игорь Васильев]

Во многих виджетах стоит encodeLabels, он экранирует html код, чтобы защитить сайт от xss уязвимости, особенно с клиентской части. Поэтому, разрешая html-код в виджетах вы рискуете и берёте на себя ответственность за контент сайта. Даже в Yii2 можно напихать всякой гадости, если игнорировать правила и документацию. Поэтому, можно запретить энкодинг, или создать правило, вывести атрибут, и через него выводить, не html, а элементы, которые меняются.

...
$font = '<i class="'.$attribute.'"></i>';
return 'font' => $font;
...

Пример:

...
[
'label' = 'главная',
'font' => 'fa fa-apple',
...
],
...

[Максим Тимофеев]

Игорь Васильев:

чтобы защитить сайт от xss уязвимости

честно говоря не представляю, как это сделать через breadcrumps. Он же с базой никак не связан.

[Игорь Васильев]

Максим Тимофеев: я тоже так думал, информация храниться в двух местах, в файлах, и в БД, так вот, энкодится контент от инъекций помещаемых в файлы, а не в БД. Если будете делать сайт для крупных компаний, лучше добавляйте новые атрибуты в виджеты, а не отключайте энкодинг, потому что клиент будет в ярости от левого контента, который напихают хакеры. Я пережил dDos атаки, xss уязвимости и sql-инъекции, так что безопасность кода, это первое, о чём я думаю. Я хоть и дилетант, но с опытом. Язык, назвать себя программистом, не поворачивается, но поделиться опытом могу.

[Максим Тимофеев]

Игорь Васильев: и все таки хотелось бы пример алгоритма атаки, при котором энкод тайтла в breadcrumps виджете играет ключевую роль. В других местах - возможно, но именно тут не представляю как.

[Игорь Васильев]

Максим Тимофеев: все вопросы к хакерам, я не умею взламывать сайты. Почитайте про xss уязвимости в интернете. https://habrahabr.ru/post/66057/

[Максим Тимофеев]

Игорь Васильев: В том-то и дело, что читал, я конечно не профи в уязвимостях, но немного разбираюсь. Не вижу возможности в данном примере использовать encode во вред. Не вижу - не значит, что утверждаю, что ее нет. Значит, что очень интересно ее механизм, если есть. Но пока не могу придумать как.

Answer 2

[Максим Федоров]

Breadcrumbs::widget([
    'homeLink' => [
        'label' => "<i class=\"fa fa-home\" aria-hidden=\"true\"></i>"
        'encode' => false,
        'url' => Yii::$app->homeUrl
    ]
   ....
]