Magento 2 @escapeNotVerified

Je vois beaucoup d'occurrences de ce commentaire /* @escapeNotVerified */dans les fichiers modèles pour Magento2.
At-il une signification particulière?
Y a-t-il une utilité à cela?

Exemples:

• https://github.com/magento/magento2/blob/2.1/app/code/Magento/Catalog/view/frontend/templates/product/list.phtml#L23
• https://github.com/magento/magento2/blob/2.1/app/code/Magento/Catalog/view/frontend/templates/product/image_with_borders.phtml#L10

• https://github.com/magento/magento2/blob/2.1/app/code/Magento/Catalog/view/frontend/templates/product/gallery.phtml#L12

• Je pourrais continuer pendant quelques pages ici.

Cette balise est utilisée par les tests statiques. Toute sortie potentiellement non sécurisée doit être marquée avec @escapeNotVerifiedou @noEscapepour réussir les tests, ce qui signifie que cette utilisation a été vérifiée et est sûre.

Dans les versions à venir, toutes les occurrences de @escapeNotVerifiedseront vérifiées et marquées @noEscapeou échappées avec l'une des méthodes suivantes:

• \Magento\Framework\View\Element\AbstractBlock::escapeHtml
• \Magento\Framework\View\Element\AbstractBlock::escapeUrl
• \Magento\Framework\View\Element\AbstractBlock::escapeXssInUrl
• \Magento\Framework\View\Element\AbstractBlock::escapeQuote

Notez également que certaines sorties sont considérées comme sûres et ne doivent pas être marquées avec de telles annotations:

• Entre guillemets simples
• Entre guillemets mais sans variable
• Type casting à bool, int
• Les appels de méthode contenant "html" dans leurs noms, comme getTitleHtml, devraient également générer du code HTML échappé.

Je le trouve dans les devdocs de Magento2

Test statique

Pour améliorer la sécurité contre les injections XSS, un test statique XssPhtmlTemplateTest.phpest ajouté dans dev \ tests \ static \ testsuite \ Magento \ Test \ Php.

Ce test statique trouve tous les appels d'écho dans les modèles PHTML et détermine s'il est correctement échappé ou non.

Il couvre les cas suivants:

• /* @noEscape */avant la sortie. La sortie ne nécessite pas de s'échapper. Le test est vert.

• /* @escapeNotVerified */avant la sortie. La sortie d'échappement n'est pas vérifiée et doit être vérifiée. Le test est vert.

Lire les documents Magento à 2.0 ou 2.1