在 Rails 3 中存储生成的 HTML 并防止 XSS 攻击

Question

我正在编写一个应用程序，其中在浏览器中执行大量繁重的计算以生成和格式化一些内容。生成的内容是我想保存在服务器上的 HTML（结构、链接、计算结果等）。它没有任何 javascript 或 CSS（在样式标签中）。

是否有 Rails 方法或插件可以在模型的 before_save 或 after_initialize 方法中使用，以从内容中剥离 javascript/css 并将其安全地发送回浏览器（通过 JSON，仅供参考），同时防止 XSS 攻击，给定内容的简单结构？

Answer 1

我个人使用Sanitize gem。使用此 gem，您可以配置您想要允许的 HTML 元素和属性，并且 gem 将删除任何其他内容。

我会说这对于您的应用来说是一个不错的选择，因为由于您希望允许一些 HTML 但不允许使用 Javascript/CSS，那么考虑到有多种方法狡猾地将 Javascript/CSS 注入 HTML。