ruby-on-rails - Railsの入力XSSおよびHTML入力をサニタイズします

Question

ビューでActionViewヘルパーメソッドを使用して出力をサニタイズできることは知ってstrip_tagsいますが、データベースに永続化する前にユーザー入力をサニタイズするための最良の方法は何ですか？コントローラーにビューヘルパーを含めて、strip_tagsメソッドを再利用する方法を見つける必要がありますか？レールには、このようなことを行うために世界中で利用できるものがあると思いました。

Answer 1

xss_terminateプラグインはどうですか?

Answer 2

ジェムをサニタイズするかもしれません: http://wonko.com/post/sanitize

Answer 3

なぜユーザー入力をサニタイズしたいのですか？それも意味がありません！サニタイズの意味はコンテンツを使用しているコンテキストに依存するため、入力ではなく出力をサニタイズ（エスケープ）する必要があります。どのコンテキストでも安全な文字列などはありません。アプリケーションが現在使用しているシナリオで「安全」なデータベース内のマングルされた文字列の束は、明日は別のことをしたいと思うかもしれないので、望ましくありません。プレゼンテーション層が正しいことをしている場合（コンテキストに基づいてコンテンツをエスケープしている場合）、引用符、円記号、またはDROP TABLEステートメントがいくつ含まれていても、問題はありません。

Answer 4

ユーザーの入力をサニタイズする必要があるのはなぜですか?

通常、必要なのは、出力のより大きなブロック内にユーザーの入力を印刷または埋め込むときはいつでも、ユーザーの入力の厳密でコンテキストを意識したエンコード/エスケープだけです。