Как безопасно дезинфицировать входные данные от TinyMCE в рубине?

Question

Я только что добавил TinyMCE к небольшой CMS, которую я построил в Rails. Раньше я использовал Redcloth для создания пользовательских статей.

С тех пор как я начал использовать TinyMCE, я хотел бы также позволить пользователям вставлять видео (от youtube для ex) в свои сообщения в блоге.

Я использую помощник последующего в представлениях:

sanitize(text, 
     :tags => %w(a object p param h1 h2 h3 h4 h5 h6 br hr ul li img), 
     :attributes => %w(href name src type value width height data)) 

Является ли это безопасно? Или я не могу позволить эти теги? Если да, то какие теги я могу разрешить? Как я могу проверить, чтобы убедиться?

Это все еще в стадии постановки.

Благодаря

Deb

Answer 1

Разрешается использовать все теги, которые вы хотите с помощью valid_elements configuration option, проверьте по умолчанию настройки вы можете расширить. Вы также можете посмотреть на custom_elements option.