Rails Gem 清理 - 如何列入白名单和删除

Question

现在我们正在使用 sanitize gem： https://github.com/rgrove/sanitize

问题是如果您输入“hello & world”，清理会将其保存在数据库中：

hello & world 

如何将 & 列入白名单。我们希望通过清理来删除所有可能的恶意 html 和 JS/script 标签。但我们可以允许使用＆符号。

有想法吗？谢谢

Answer 1

Sanitize 始终会将输出内容转换为有效 html/xhtml 的 html 实体。

我可以确定的最好方法是过滤输出

Sanitize.fragment("hello & world").gsub('&','&') #=> "Hello & world"

Answer 2

请改用 strip_tags() 方法。

http://api.rubyonrails.org/classes/ActionView /Helpers/SanitizeHelper.html#method-i-sanitize

Answer 3

UnixMonkey 的答案就是我们最终所做的。

def remove_markup(html_str)
    marked_up = Sanitize.clean html_str

    ESCAPE_SEQUENCES.each do |esc_seq, ascii_seq|
      marked_up = marked_up.gsub('&' + esc_seq + ';', ascii_seq.chr)
    end
    marked_up
  end

其中 ESCAPE_SEQUENCES 是我们不想转义的字符数组。

Answer 4

其他答案都不适合我。我为我的用例找到的最佳方法是使用内置的 Loofah gem：

good = '&'
bad = "<script>alert('I am evil');</script>"
greater_than = '>' # << my use case

Loofah.fragment(good).text(encode_special_chars: false)
# => "&"
Loofah.fragment(greater_than).text(encode_special_chars: false)
# => ">"

Loofah.fragment(bad).text(encode_special_chars: false)
# => "alert('I am evil');"

# And just for clarity, without the option passed in:
Loofah.fragment(good).text
# => "&"

它并不是完美无缺的不过，所以要非常小心：

really_bad = "<script>alert('I am evil');</script>"
Loofah.fragment(really_bad).text(encode_special_chars: false)
# => "<script>alert('I am evil');</script>"

有关指定方法的更多信息 此处。

绝对是我需要做的最有效的方法！

Answer 5

从 Rails 4.2 开始，#strip_tags 不会取消编码 HTML 特殊字符，

strip_tags("fun & co")
  => "fun & co"

否则您会得到以下结果：

strip_tags("<script>")
  => "<script>"

如果您只想要 & 符号，我建议像 @Unixmonkey 建议的那样过滤输出，并将其保留为 <仅代码>&

strip_tags("<bold>Hello & World</bold>").gsub(/&/, "&")
  => "Hello & World"