如何清理rails中的属性值

Question

在 Rails 中清理属性值的最佳方法是什么？代码如下所示：

<img alt="<%= h 'untrusted-data' %>" src="image-source-here" />

我特别关心owasp.net XSS prevention cheat sheet.上给出的Rule #2和Rule #3

1. 将不受信任的数据插入 HTML 通用属性之前的属性转义
2. 将不受信任的数据插入 JavaScript 数据值之前的 JavaScript 转义

html_escape 方法是否足以达到目的？由于某种原因，我不能在这里使用TagHelper 提供的tag 方法。使用 Rails 2.3.5 版本。

Answer 1

是的，这已经足够了。 （虽然有另一个 " 但我想这是一个错字:)

<img alt="<%=h untrusted %>" src="img.png" />

h 将阻止untrusted 包含" 并将其替换为"，这样攻击者将无法摆脱alt 属性。此外，她也无法通过alt 属性利用某些东西，因为其中没有进行任何解析。

例如，如果它位于a 的href 属性中，情况会有所不同，在这种情况下，攻击者即使无法退出，也可以在单击时运行一些javascript代码属性。 （如javascript:alert(/XSSed/);）