Как выйти/разделить из специальных символов в ЛАТЕКСНОМ документе?

В общем, обеспечение безопасности исключительно за счет экранирования последовательностей команд трудно обойтись без резкого снижения выразительности, поскольку нет принципиального способа отличить безопасные cs от небезопасных. one: Tex просто недостаточно чистый язык программирования, чтобы позволить это. Я бы посоветовал отказаться от этого подхода в пользу устранения дыр в безопасности.

Резюме Вегера о дырах в безопасности в Latex совпадает с моим: то есть, проблемы связаны с экранированием оболочки и созданием файла. Перезапись, хотя он пропустил уязвимость экранирования оболочки. Далее следуют некоторые дополнительные моменты, а затем некоторые рекомендации:

1. Недостаточно избегать активного вызова - shell-escape , поскольку он может быть неявно включен в texmf.cnf. Вы должны явно передать - no-shell-escape , чтобы переопределить texmf.cnf;
2. \ write18 является примитивом Etex, а не Tex Кнута. Так что вы можете избежать латексов, которые его реализуют ( К сожалению, их большинство);
3. Если вы используете Dvips, есть еще один риск: команды \ special могут создавать файлы .dvi, которые просят dvips выполнять команды оболочки.Поэтому вам следует, если вы используете dvips, передать команду -R2 , чтобы запретить вызов команд оболочки;
4. texmf.cnf позволяет вам указать, где Tex может создавать файлы;
5. Возможно, вы не будете возможность избежать отключения создания шрифтов, если вы хотите, чтобы ваши клиенты имели большую свободу в выборе шрифтов, которые они могут создавать. Взгляните на примечания по безопасности для Kpathsea ; поведение по умолчанию кажется мне разумным, но у вас может быть дерево шрифтов для каждого пользователя, чтобы один пользователь не наступил на пальцы ног другого пользователя.

Параметры:

1. Изолировать вызовы Latex вашего клиента и дать им свободу неправильно себя вести в песочнице;
2. Доверяйте значениям по умолчанию kpathsea и запрещайте экранирование оболочки в латексе и любых других исполняемых файлах, используемых для создания вывода PDF;
3. Существенно уменьшите выразительность, запретив вашим клиентам возможность создавать файлы шрифтов или любые новые файлы, указанные клиентом. Запускать latex как процесс, который может записывать только в определенные уже существующие файлы;
4. Вы можете создать файл формата, в котором \ write18 cs и css создания файла не связаны, а только макросы которые вызывают их безопасно, например, для создания font / toc / bbl. Это означает, что вы должны решить, какие функции есть у ваших клиентов: они не смогут свободно выбирать, какие пакеты они импортировать, но должны использовать выбор, который вы им наложили. В зависимости от того, какие «шаблоны» вы имеете в виду, это может быть хорошим вариантом, позволяющим использовать пакеты, использующие экранирование оболочки, но вам нужно будет проверить код Tex / Latex, который входит в ваш файл формата.

Postscript

Там есть статья TUGBoat, Создание PDF на стороне сервера на основе шаблонов LATEX , в которой рассматривается другой подход к вопросу, который я взял, а именно создание PDF-файлов из ввода формы с использованием Latex.

You Наверное, хотелось бы убедиться, что ваш \ write18 отключен.

См. http://www.fceia.unr.edu.ar/lcc/cdrom/Instalaciones/LaTex/MiKTex/doc/ch04s08.html и http: //www.texdev .net / 2009/10/06 / what-does-write18-mean /

Согласно http://www.tug.org/tutorials/latex2e/Special_Characters.html специальными символами в латексе являются # $% & ~ _ ^ \ {} . Большинство из них можно экранировать простой обратной косой чертой, но _ ^ и \ требуют особой обработки.

Для вставки используйте \ ^ {} (или \ textasciicircum ), для тильды используйте \ ~ {} (или \ textasciitilde ) и для обратной косой черты используйте \ textbackslash

. Если вы хотите, чтобы вводимые пользователем данные отображались как текст пишущей машинки, существует также команда \ verb , которая может использоваться как \ verb + asdf $$ & \ ~ ^ + , + может быть любым символом, но не может быть в тексте.