Rails - javascript-инъекции

Question

Я использую Rails 3 и Ruby 1.9.2. Я делаю что-то особенное, когда я отображая содержание моего поста, я просто делаю

<%=@post.content%> 

Когда я добавляю

"<script language='javascript'>alert('test');</script>" 

к моему сообщению форме, конечно, он выполняет яваскрипт предупреждения !

Я попытался добавить html_safe как перед сохранением, так и перед отображением, но ничего не исправить.

Если мне нужно добавить какой-либо защитный код, должен ли я добавить его перед сохранением сообщения или перед его отображением? Я слышал, что рельсы 3 делают это сами, поэтому я не слишком беспокоился о безопасности, но, я думаю, до сих пор есть некоторые основные вещи, с которыми нужно быть осторожными.

Answer 1

Rails 3 довольно строги о побеге, что вы положили в свой взгляд, но в Rails 2 и раньше это была ваша ответственность, чтобы сделать это , Вы должны выйти все, используя метод h помощника:

<%= h(value) %> 

При создании приложения, которое принимает произвольный ввод данных пользователем вы должны быть уверены, вы спасаясь ничего, и все, что показывает в представлении.

Answer 2

Вы используете Rails 3? Материал javascript должен автоматически сбрасываться.

Но для получения дополнительной информации о предотвращении XSS, я бы просто посмотреть на Ryan Bates' RailsCasts.