Sanitize input XSS e HTML input in rail

Question

So che posso utilizzare il metodo ActionView helper strip_tags nelle mie visualizzazioni per disinfettare l'output, ma qual è il modo migliore per sanitare l'input dell'utente prima di mantenerlo nel mio db? Dovrei trovare un modo per includere l'helper della vista nel mio controller e riutilizzare il metodo strip_tags? Pensavo che le rotaie avrebbero avuto qualcosa di disponibile a livello globale per fare qualcosa del genere.

Answer 1

E il plug-in xss_terminate?

Answer 2

Perché è necessario disinfettare l'input dell'utente?

In genere, tutto ciò che è necessario è una codifica/escape rigorosa e sensibile al contesto dell'input dell'utente ogni volta che viene stampata o incorporata in un blocco di output più ampio.

Answer 3

forse disinfettare gemma: http://wonko.com/post/sanitize

Answer 4

Perché vuoi per disinfettare input dell'utente? Non ha nemmeno senso! Si desidera sempre disinfettare (scappare) gli output, non gli input, perché il significato dell'igienizzazione dipende dal contesto in cui si sta utilizzando il contenuto. Non esiste una stringa che sia sicura in qualsiasi contesto. Non vuoi che un mucchio di stringhe manomesse nel tuo database siano "sicure" in qualunque scenario la tua applicazione le stia utilizzando oggi, perché domani potresti voler fare qualcosa di diverso con loro. Se il tuo livello di presentazione sta facendo la cosa giusta (sfuggire il contenuto in base al contesto), allora stai bene, indipendentemente da quante virgolette, barre rovesciate o istruzioni DROP TABLE ci siano.