ruby – Sinatra应用程序中的XSS保护

发布时间：2020-12-17 02:01:24 所属栏目：百科来源：网络整理

导读：对于html =’ b a href =“http://foo.com/” foo / a / b img src =“http://foo.com/bar .jpg“/”和类似的输入,包括 javascript,会是这样的(Sanitize.clean(@ post.content)#=’foo’)覆盖所有基础,以防止用户将javascript和html注入数据库？我应该采取

对于html =’< b>< a href =“http://foo.com/”> foo< / a>< / b>< img src =“http://foo.com/bar .jpg“/>”和类似的输入,包括 javascript,会是这样的(Sanitize.clean(@ post.content)#=>’foo’)覆盖所有基础,以防止用户将javascript和html注入数据库？

我应该采取额外措施来消毒用户输入吗？

解决方法

您可以使用ERB :: Util方法html_escape(别名为较短的h)

见：http://ruby-doc.org/stdlib-1.9.3/libdoc/erb/rdoc/ERB/Util.html#method-c-h

注意：从Mladen的评论复制为社区维基回答

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!