müssen wir starke params in schienen explizit sanieren?

Question

class ApplicationController < ActionController::Base 
.... 

    def sanitize(value) 
    ActionController::Base.helpers.sanitize(value.try(:strip)).gsub('&amp;', '&').gsub('&gt;', '>').gsub('&lt;', '<') if value.present? 
    end 

end 

und in einer Ressource

class UsersController < ApplicationController 
... 
def update 
    if current_user.update(update_users_params) 
    redirect_to root_path 
    end 
end 

private 


def update_users_params 
    params.require(:user).permit(username: sanitize(params[:user] [:username]), 
        location: sanitize(params[:user][:location])) 
end 

hier Standort und Benutzername sind User-Modell Attribute.

tatsächliches Verhalten ohne sanitize Methode:

wenn wir "Hey <script type='text/javascript'> alert('Hi') </script>" an Benutzername oder Standort Eingabefeld eines Benutzerformulars hinzufügen, nachdem Formulareinreichung sie gespeichert ist, wie es

ist

"Hey <script type='text/javascript'> alert('Hi') </script>" 

tun müssen wir Bereinigen Sie diese Attribute für Skript-Tags, bevor Sie sie in der Datenbank speichern? und

werden starke Params Skript Tags nicht von diesen Attributen bereinigen?

Answer 1

Schienen speichern die Eingabe so, wie sie ist, aber sie wird immer entfliehen, wenn Sie damit arbeiten.

Sie müssen raw oder html_safe explizit für unsanitized (HTML/Skript) Zeichenfolgen aufrufen.