Mengapa mengatur exrc berbahaya?

Saya telah melihat set exrcdisebutkan di berbagai tempat untuk menggunakan .vimrcfile per-direktori , tetapi setiap kali disebutkan itu sudah dengan peringatan yang kuat untuk tidak benar-benar menggunakannya karena itu berbahaya. Saya juga sudah menemukan set secureyang seharusnya memperbaiki beberapa bahaya warisan set exrc, tetapi bahkan dengan itu konsensus tampaknya tidak digunakan set exrc.

Saya telah mendengar sedikit demi sedikit mengapa, tetapi apa sebenarnya bahaya menggunakan set exrc, dengan atau tanpa set secure?

Karena Anda memberi tahu vim untuk melakukan beberapa perintah dari file yang mungkin tidak Anda kendalikan atau orang lain bisa menulis. Katakanlah Anda mengambil sesuatu dari github, dan jauh di dalam pohon ada .vimrc. Jika Anda vim sesuatu di direktori itu dan miliki set exrc, Anda mengatakan vim untuk menjalankan perintah di .vimrc yang Anda dapatkan dari github. Apakah Anda benar-benar percaya siapa pun yang membuat file itu? Karena Anda membiarkan vim menjalankan perintah apa pun yang mereka masukkan ke file itu. Atau katakan Anda menggunakan mesin yang secara teratur digunakan oleh banyak orang (mereka masih ada :-)), dan seseorang meminta Anda untuk melihat sesuatu di direktori home mereka (atau / tmp, atau di mana saja mereka dapat menulis). Anda cd di sana, itu file teks, jadi Anda melakukan vim file. Denganset exrc, Anda juga memberi tahu vim untuk menjalankan perintah di .vimrc di direktori itu. Apakah Anda benar-benar mempercayai pengguna itu, atau dalam direktori yang dapat ditulis dunia seperti / tmp, setiap pengguna yang dapat masuk ke mesin itu?

set securemengurangi masalah agak dengan membatasi beberapa hal yang dapat dilakukan dalam. dapat memberi tahu file kepada Anda), set securediabaikan, sehingga Anda masih memiliki masalah yang sama.