Rails Gem sanitize - 如何加入白名单和

Question

现在我们正在使用 sanitize gem：https://github.com/rgrove/sanitize

问题是如果您输入“hello & world”，sanitize 会将其保存在数据库中：

hello & world 

如何将 & 列入白名单。我们希望清理以删除所有可能的恶意 html 和 JS/script 标签。但我们可以允许 & 符号。

想法？谢谢

Answer 1

Sanitize 将始终将输出内容转换为有效 html/xhtml 的 html 实体。

我能确定的最好方法是过滤输出

Sanitize.fragment("hello & world").gsub('&','&') #=> "Hello & world"

Answer 2

改用 strip_tags() 方法。

http://api.rubyonrails.org/classes/ActionView/Helpers/SanitizeHelper.html#method-i-sanitize

Answer 3

UnixMonkey 的答案是我们最终所做的。

def remove_markup(html_str)
    marked_up = Sanitize.clean html_str

    ESCAPE_SEQUENCES.each do |esc_seq, ascii_seq|
      marked_up = marked_up.gsub('&' + esc_seq + ';', ascii_seq.chr)
    end
    marked_up
  end

其中 ESCAPE_SEQUENCES 是我们不想转义的字符数组。

Answer 4

从 Rails 4.2 开始，#strip_tags 不会取消编码 HTML 特殊字符

strip_tags("fun & co")
  => "fun & co"

否则你会得到以下结果：

strip_tags("<script>")
  => "<script>"

如果你只想要 & 符号，我建议像 @Unixmonkey 建议的那样过滤输出，并将其保留为 & only

strip_tags("<bold>Hello & World</bold>").gsub(/&amp;/, "&")
  => "Hello & World"

Answer 5

其他答案都不适合我。我为我的用例找到的最佳方法是使用内置的Loofah gem：

good = '&'
bad = "<script>alert('I am evil');</script>"
greater_than = '>' # << my use case

Loofah.fragment(good).text(encode_special_chars: false)
# => "&"
Loofah.fragment(greater_than).text(encode_special_chars: false)
# => ">"

Loofah.fragment(bad).text(encode_special_chars: false)
# => "alert('I am evil');"

# And just for clarity, without the option passed in:
Loofah.fragment(good).text
# => "&amp;"

但它并非完美无瑕，所以要非常小心：

really_bad = "<script>alert('I am evil');</script>"
Loofah.fragment(really_bad).text(encode_special_chars: false)
# => "<script>alert('I am evil');</script>"

关于指定方法here的更多信息。

绝对是我需要做的最有效的方法！