Désinfecter l'entrée Entrée XSS et HTML dans les rails

Question

Je sais que je peux utiliser la méthode d'assistance ActionView strip_tags dans mes vues pour assainir la sortie, mais quel est le meilleur moyen de désinfecter l'entrée de l'utilisateur avant de la persister dans mon db? Dois-je trouver un moyen d'inclure l'assistant d'affichage dans mon contrôleur et de réutiliser la méthode strip_tags? Je pensais que les rails auraient quelque chose de globalement disponible pour faire quelque chose comme ça.

Answer 1

Qu'en est-il du plugin xss_terminate?

Answer 2

Pourquoi devez-vous nettoyer l'entrée de l'utilisateur?

En règle générale, tout ce dont vous avez besoin est un encodage/échappement rigoureux et contextuel de l'entrée de l'utilisateur chaque fois que vous l'imprimez ou l'intégrez dans un plus grand bloc de sortie.

Answer 3

désinfecte peut-être petit bijou: http://wonko.com/post/sanitize

Answer 4

Pourquoi voulez-vous désinfectez les entrées utilisateur? Cela n'a même pas de sens! Vous voulez toujours désinfecter (sortir) les sorties, pas les entrées, car la signification de la désinfection dépend du contexte dans lequel vous utilisez le contenu. Il n'existe pas de chaîne qui soit sûre dans n'importe quel contexte. Vous ne voulez pas qu'un groupe de chaînes mutilées dans votre base de données soit "sûr" dans n'importe quel scénario que votre application les utilise aujourd'hui, parce que demain, vous voudrez peut-être faire quelque chose de différent avec eux. Si votre couche de présentation fait la bonne chose (en échappant au contenu en fonction du contexte), tout va bien, peu importe le nombre de citations, d'antislashs ou d'instructions DROP TABLE qui s'y trouvent.