最近在学习SSTI（服务器模板注入），所以在此总结一下

0x00 Twig的介绍

什么是Twig?

Twig是一款灵活、快速、安全的PHP模板引擎。

Twig的特点?

快速：Twig将模板编译为纯粹的，最优化的PHP代码。它的开销与常规的PHP代码相比，已经降到了极低。

安全：Twig拥有沙盒模式，用于评估未受信任的模板代码。这使得Twig可以用于允许用户自行修改模板设计的应用程序中。

灵活：Twig由一个灵活的词法分析器和解析器驱动。这使得开发者可以自定义标签和过滤器，并创建自己的DSL。

为何会有这款模板引擎？

在为PHP带来模板引擎时，许多人会告诉你PHP本身就是一款模板引擎啊。虽说一开始PHP是作为一门模版语言使用，但它并不像近年来的任何模板引擎一样发展。事实上，他不支持现代模板引擎的许多特性：

1.简洁：PHP语言在涉及到输出转义时冗长而可笑。

<?php echo $var ?>

<?php echo htmlspecialchars($var, ENT_QUOTES, 'UTF-8') ?>

相比之下，Twig拥有非常简洁的语法，它使得模版更具可读性：

{{ var }}

{{ var|escape }}

{{ var|e }}         {# shortcut to escape a variable #}

2.模版导向语法：Twig为通用的模式提供了快捷方式，例如在遍历一个空数组时，会显示一个默认文本：

{% for user in users %}

    * {{ user.name }}

{% else %}

    No users have been found.

{% endfor %}

3.全功能：Twig为你提供了轻松构建强大模版的一切：多重继承，块，自动化输出转义，以及其他许多特性：

{% extends "layout.html" %}

{% block content %}

    页面内容...

{% endblock %}

4.易学：Twig的语法非常易学，即使是网页设计师也能毫无阻碍地快速完成工作:

当然，PHP也是许多模板引擎项目中用到的语言。但它们中的大多数仍是使用PHP 4开发的，并且不支持最佳的web开发实践：

5.可扩展性：即使是在最复杂的情况下，Twig也足够灵活满足你的需求。得益于开放的体系，你可以实现你自己的语言结构（标签、过滤器、函数、甚至运算符等）来创建你自己的DSL。

6.已被单元测试：Twig经历过完整的单元测试，它是稳定的，能用于大型项目的。

7.文档：Twig拥有完整的文档，以及专用的在线手册，当然还有完善的API文档。

8.安全：说到安全，Twig拥有一些独特的特性：

　　自动输出转义：为安全考虑，你可以全局启用自动输出转义，或者只对某个块启用：

　　

{% autoescape true %}

    {{ var }}

    {{ var|raw }}     {# var won't be escaped #}

    {{ var|escape }}  {# var won't be doubled-escaped #}

{% endautoescape %}

9.沙盒：Twig可以在沙盒环境下评估任意模版，用户只能访问一组有限的标签，过滤器，以及由开发者定义的对象方法。沙盒可以全局地或者单独对某些模版启用：

{{ include('page.html', sandboxed = true) }}

10.清晰的错误信息：无论何时你在模版中遇到了语法错误，Twig都会输出带有出错的文件名和行号的帮助信息。它非常有助于调试。

11.快速：Twig的目标之一就是尽可能地快。为了尽可能实现最佳的速度，Twig将模版编译成极致优化的PHP代码。它的开销与常规的PHP代码相比，已经降到了极低。

0x01 安装

需求：

和php一样，发布大版本后，以前的版本依然会维护一段时间，因此twig目前有两个版本都在维护

1.X版本：至少PHP 5.2.7，从1.34开始至少需要PHP 5.3.3.

2.X版本：至少PHP 7.0.0

包括drupal8在内，许多项目都还在使用1.X，这里以1.X做主要介绍，有多种方法安装twig，官方推荐使用composer，运行如下命令即可：

composer require twig/twig:~1.0

为了提高性能twig还提供了有限功能的php层面的C扩展，详见官网，这里我们以下载文件方式来安装。

安装：

到这里下载文件包：https://github.com/twigphp/Twig/tags

本文选择： v1.35.3  解压下载的Twig-1.35.3.tar.gz  由于twig使用psr-0的自动加载方式，所以里面的lib就是我们需要的库文件，将其复制到网站根目录即可

你可以在本机通过phpstudy等软件安装运行环境，这里以E:\phpStudy\PHPTutorial\WWW作为网站根目录，在SSTI文件夹下创建SSTI1.php

内容如下：

 1 <?php

 2

 3 require_once '../Twig-1.35.3/lib/Twig/Autoloader.php';

 4

 5 Twig_Autoloader::register();

 6

 7 $loader = new Twig_Loader_Array(array(

 8

 9     'index' => 'Hello {{ name }}!',

10

11 ));

12

13 $twig = new Twig_Environment($loader);

14

15 echo $twig->render('index', array('name' => 'Fabien'));

运行结果如图：

这说明安装完成

开始使用：

假设你已经按前一步设置好了目录与文件，我们来从文件系统加载一个模板文件，进行显示：

在根目录建立子目录“template”用以存放模板文件，在其中建立文本文件“index.html.twig”，内容如下：

<!DOCTYPE html>

<html lang="en">

<head>

    <meta charset="UTF-8">

    <title>twig</title>

</head>

<body>

hello world ! {{name}}

</body>

</html>

然后访问站点http://127.0.0.1/template.php，你将会看到：

同时在站点根目录下多出了一个子目录：

templates_cache

其中存放着为提高性能编译为php文件的模板文件，默认只编译一次，如原文件发生变化需重新编译（删除缓存）

在以上代码中Twig_Environment是twig的中枢对象，类接收两个参数：

\Twig_Environment::__construct (Twig_LoaderInterface $loader = null, $options = array())

$loader是实现了\Twig_LoaderInterface接口的加载器，用于加载模板文件

$options是选项数组，控制twig行为，有效选项如下：

debug：是否处于调试模式，布尔值，默认为false

charset：模板使用的字符编码，默认为 UTF-8

base_template_class：基础模板类，用于被编译后的模板php文件，默认为Twig_Template

cache：可选值有储存编译后模板的目录，或者为false以禁用编译缓存，这是默认值，也可以是缓存对象（接口：Twig_CacheInterface的实例，见开发者篇）

auto_reload：布尔值，在原模板文件改变时是否重新加载，如果没有提供那么将根据debug选项决定

strict_variables：是否使用严格变量模式，默认为false，为真时模板中使用无效变量将抛出错误，否则为NULL

autoescape：是否全局自动转义，可能的值有：false（禁止转义），true（默认值，等效为html），html（转义html实体），js（转义js），css（转义css），url（转义url），html_attr（转义html和属性），name（基于模板扩展名设置自动转义策略），PHP callback（由一个php回调来返回转义策略，该回调接收模板的名字做参数）

optimizations：模板编译时的优化选项，“-1”代表开启全部优化（默认值），“0”代表禁用优化，还有其他值详见下集中优化扩展一节

渲染代码：$twig->render('index.html.twig', array('name' => 'yunke'));原型为：

render($name, array $context = array())

第一个参数是模板的文件名，用于加载模板

第二个是传递给模板的变量数组，键名为在模板中的变量名，键值为对应的变量值，该变量数组称为模板的“上下文”，在模板中通过“_context”能访问到该数组，下文将多次提到“上下文”就是指该变量数组

模板文件命名：

twig模板是一个段文本内容，可以存放在数据库、php变量、文件等地方，如果是文本文件，命名是任意的，任意扩展名均可，但通常使用“.twig”或“.html.twig”作为扩展名

参考：https://www.poos.cn/node/65

　　　https://www.kancloud.cn/yunye/twig-cn/159454

原生twig模板引擎详解(安装使用)的更多相关文章

  1. flask中jinjia2模板引擎详解3

    接上文 模板继承 Jinji2中的模板继承是jinjia2比较强大的功能之一. 模板继承可以定义一个父级公共的模板,把同一类的模板框架定义出来共享. 这样做一方面可以提取共享代码,减少代码冗余和重复的 ...

  2. flask中jinjia2模板引擎详解4

    接上文 For循环 和其它编程语言一样,for用来编辑列表中的项.下面以一个例子来说明for在flask的jinjia2模板中的使用. 创建一个模板list.html 代码如下{% extends & ...

  3. 构建自己的PHP框架（Twig模板引擎）

    完整项目地址:https://github.com/Evai/Aier Twig 模板引擎 模版引擎 twig 的模板就是普通的文本文件,也不需要特别的扩展名,.html .htm .twig 都可以 ...

  4. opencart 引入 TWIG 模板引擎

     1.首先将 twig 包放入 system\library 目录. 2.在 system/startup.php 文件最后添加引入语句. require_once(DIR_SYSTEM . 'lib ...

  5. 【转】Eclipse Java注释模板设置详解

    Eclipse Java注释模板设置详解   设置注释模板的入口: Window->Preference->Java->Code Style->Code Template 然后 ...

  6. MyIASM和Innodb引擎详解

    MyIASM 和 Innodb引擎详解 Innodb引擎 Innodb引擎提供了对数据库ACID事务的支持,并且实现了SQL标准的四种隔离级别,关于数据库事务与其隔离级别的内容请见数据库事务与其隔离级 ...

  7. 前后端数据交互处理基于原生JS模板引擎开发

    json数据错误处理,把json文件数据复制到----> https://www.bejson.com/ 在线解析json 这样能直观的了解到是否是json数据写错,在控制台打断点,那里错误打那 ...

  8. MySQL数据库的各种存储引擎详解

    原文来自:MySQL数据库的各种存储引擎详解   MySQL有多种存储引擎,每种存储引擎有各自的优缺点,大家可以择优选择使用: MyISAM.InnoDB.MERGE.MEMORY(HEAP).BDB ...

  9. 【转载】 Eclipse注释模板设置详解

     Eclipse注释模板设置详解 网站推荐: 金丝燕网(主要内容是 Java 相关) 木秀林网(主要内容是消息队列)

随机推荐

  1. MM函数（Excel函数集团）

    此处文章均为本妖原创,供下载.学习.探讨! 文章下载源是Office365国内版1Driver,如有链接问题请联系我. 请勿用于商业!谢谢 下载地址:https://officecommunity-m ...

  2. MyBatis 3学习笔记

    MyBatis 3 一.MyBatis简介 优秀的持久层框架,支持支持自定义 SQL.存储过程以及高级映射,专注于SQL的编写. ​ 为什么不使用工具类进行数据库操作: ​ 功能简单,sql语句编写在 ...

  3. 如何在java web工程下建立存储property文件的文件夹，让Java程序直接读取

    如何在java web工程下建立存储property文件的文件夹,让Java程序直接读取: 步骤如下:

  4. JAVAWEB使用FreeMarker利用ftl把含有图片的word模板生成word文档，然后打包成压缩包进行下载

    这是写的另一个导出word方法:https://www.cnblogs.com/pxblog/p/13072711.html 引入jar包,freemarker.jar.apache-ant-zip- ...

  5. FastAPI（六十五）实战开发《在线课程学习系统》基础架构的搭建

    在之前三篇,我们分享的就是需求的分析,基本接口的整理,数据库链接的配置.这次我们分享项目的基本框架,目录结构如下: common目录 通用的目录,一些通用的处理放在这里 models目录 数据库相关的 ...

  6. windows10使用vscode+cmake编译c++代码

    概述 本文将介绍 VScode + cmake 在 windows10上编译c++代码 前提: 我之前已经安装过VS2017, 故 编译将采用cl.exe. 开始之前 本文演示环境基于 windows ...

  7. 移动端H5-iPhone安全距离适配

    安全区域? 安全区域指的是一个可视窗口范围,处于安全区域的内容不受圆角(corners).齐刘海(sensor housing).小黑条(Home Indicator)影响,如下图蓝色区域: 也就是说 ...

  8. 第三十六个知识点：Index Calculus算法

    第三十六个知识点:Index Calculus算法 我们这篇博客继续描述一种数学攻击,这种数学攻击被叫做Index Calculus(IC)算法. 注意这里Index Calculus算法没有找到合适 ...

  9. 微信小程序-自定义菜单导航（实现楼梯效果）

    设计初衷 在开发页面时,往往需要实现,点击页面的导航菜单页面滚动到相应位置,滚动页面实现菜单选项的高亮.在html开发中,我们可以用到a标签锚点实现,jq的动画相结合实现类似效果.在框架中vant U ...

  10. CapstoneCS5265|TYPEC转HDMI 4K60HZ转换方案设计|CS5265功能介绍

    芯片简介描述:CS5265集成了一个DP1.4的转换器HDMI2.0转换.此外,CC控制器还用于CC通信,以实现DP Alt模式. CS5265是一种高度集成的单芯片,适用于多个细分市场和显示应用,如 ...