0
RoR 3自动清理ERB模板(正确完成时)。但是,我有一个小项目,我只将RoR用于应用程序层,而javascript用于演示文稿。所以,典型的请求是ajax调用rails路径并呈现返回的json。问题是,目前我有可能注入js,创建一个标题为<script>alert('hello')</script>
的新产品,并且按照下一个请求返回,并且浏览器愉快地解释脚本。从Rails消毒JSON的最佳方式
它是最好
- 消毒后上的投入?
- 清理服务器上的json响应? (覆盖to_json?)
- 消毒客户端上的json响应?
我很欣赏任何输入。
谢谢你的深思熟虑的回应。我将有一些模型属性可能包含用户提供的标记。所以,我选择了一个观察者来清理before_validation。 –
净化宝石非常棒,但不会在JRuby等其他环境中构建,因为作者选择不支持它,所以更详细的解决方案会更好。 – rcd