Set @param-taint for Parser::internalParse()
authorKunal Mehta <legoktm@member.fsf.org>
Fri, 31 Aug 2018 04:46:10 +0000 (21:46 -0700)
committerKunal Mehta <legoktm@member.fsf.org>
Fri, 31 Aug 2018 04:46:10 +0000 (21:46 -0700)
commiteb7150b029e0c17f46e169c9cbd561ca028eee12
tree1a3c52b127ff1dfb1367032ffc7356c472eca325
parent486905a17f33e02484897c84c3084529f9e87472
Set @param-taint for Parser::internalParse()

This is not strictly accurate, because Parser::internalParse() actually
returns half-parsed HTML, which is not safe for output. But it is safe for
output from a parser tag.

Maybe phan-taint-check plugin needs to learn about half-parsed HTML as an
extra taint type, and make that an acceptable thing for parser tags to return,
but not other things.

But this fixes the failures for the Listings extension, so I think it's
worthwhile in the meantime.

Change-Id: Idf87f5c3dcf81dd210de73a4ff15e3b1aabd9f89
includes/parser/Parser.php