在Rails中剥离标签

Question

我正在制作Rails应用程序，并且有关于剥离标签文本的问题。在视图显示用户提交的文本的任何地方使用strip_tags方法是否正常？或者应该在模型中验证所有输入，然后在视图中不需要strip_tags方法？这将是很多地方添加这个，因此我想知道我是否正确。

Answer 1

如果您使用的是Rails 3+，它会自动转义从Ruby视图中输出的所有内容。无事可做，默认安全。

如果您正在使用Rails 2.3或更低版本，请使用<%= h some_var %>来逃避潜在的有害变量。

此外，您可以使用带有Rails 2.3的gem rails_xss来添加来自Rails 3的保护

Answer 2

我会去除输入/保存的所有标签，然后您不必担心它以后。如果您确实想要维护标签，那么请考虑使用Presenter设计模式，并且只需将所有模型数据输出通过其演示者，然后您就可以将标签剥离到一个位置。