@SilentDepth 当然我说的不是纯粹指页面快速生成，而是指“根据所填写的参数而快速生成页面“，参数可能包含是网络请求接口，<title>标签名称，如果是 cms，可能还包括列名，内容管理名称

@SilentDepth 是的，可以这么说，一个组件看成一坨 HTML 字符串，几坨 HTML 字符串拼出一个页面的 HTML 。想要找一个快速拼接 html 组件的思路或者工具。但不一定是后端渲染，也可能是代码生成器拼接，然后复制到页面文件里

@SilentDepth 就像面向对象一样，把需求抽象成实体类，这里的抽取，我指的是，把模板页面和参数抽象成类，这个确切的说，是有抽象功能的代码生成器把

@dartabe 如果是依据后端模板引擎的话，，套用模板页面和请求接口对接，有哪些思路策略呢？

@azcvcza 有人想 xss 攻击怎么办

@miniwade514 有哪些好的模板网站呢？

@SilentDepth 问题是，怎么把页面模板抽取出来，快速套用

@buffzty 大多数情况下可以用 orm 或 prepared statement 实现 sql 防注入，但也有不得不必须用拼接 sql 语句的方式。这类方式多数是复杂的查询语句

@cumt21g 后端过滤是多此一举，浪费精力，后端负责通不通过就行，难道后端还要告诉非法请求的客户端，你的请求数据有问题么？正常的客户端就交给前端去负责。至于非法客户端。

@Deffi
@zhw2590582
@taaaang

前端过滤，是因为前端是面向正常的客户端，而构造请求直接调后端接口不算正常的客户端，后端主要负责安全，用户体验交给前端。

后端既然检测的非法数据，就代表请求的客户端是不正常的客户端，没有经过前端验证过滤的客户端，就没有必要从数据库拿数据了，更没有必要过滤数据。都已经是非正常用户了，没必要告诉客户端是不是请求出问题了。

@Leon6868 我的策略是，数据转码，交给前端做。后端只负责"是不是有，有就别想进入";后端做请求过滤，那是多此一举。

@gz911122 我知道，我其实想说的是，后端搞过滤是多此一举，后端不要搞什么过滤，只搞检查同步通不通过就行，过滤转码交给前端就行，直接构造请求的攻击者，肯定不会乖乖用浏览器，这些，直接交给后端用拦截器拦下来返回错误码即可，这是我的策略。

@Leon6868 看清楚啊，我并不是说后端不处理，只是前端已经过滤了，就代表已经是安全的了，没有必要在后端再来一次过滤，而后端处理就比较简单，不用搞过滤等操作，把检测到非法字符的请求返回个如 404 错误或无用的信息给攻击者。

@MOETAN0 我的后端不是不处理，而是处理比较简单粗暴，在后端，把检测到带有的非法字符的请求返回个 404,403 之类的错误码，把别有用心的构造请求的攻击者挡在外面。

@lneoi 谢谢

@rrfeng 谢谢你的建议，elk，这个东西，我查了一下，它好像是个服务组合，可以把日志管理拆分独立的一个服务。集成了查询，存储，可视化这三点。关于这三点的组合，有同类型的么？

@rrfeng 你是不是觉得，用 sqlite 做系统日志文件是没有必要的。直接用 txt 做日志文件，用文本编辑器打开，用“查找”功能去看日志是最好的？

@flyinke 这个我试了一下，轻量，使用简单，很不错，但是最大的缺点是无法使用 if 和逻辑表达式的组合。无法运行类似 if(a=="12"||b==123&&(c==null||c=="")) 这种功能的代码

@tctc4869 百度和谷歌了一下，没有发现 mustache 有 ifelse 配合逻辑表达式的教程。这个比较重要的功能都没有么？