Esterilice XSS de entrada y de entrada HTML en los carriles

Question

Sé que puedo utilizar el método de ayuda ActionView strip_tags en mis puntos de vista para desinfectar la salida, pero ¿cuál es la mejor manera de desinfectar la entrada del usuario antes de que yo persisto a mi db? ¿Debería encontrar una manera de incluir el asistente de visualización en mi controlador y volver a utilizar el método strip_tags? Pensé que los rieles tendrían algo disponible globalmente para hacer algo como esto.

Answer 1

¿Qué pasa con el complemento xss_terminate?

Answer 2

¿Por qué necesita desinfectar la entrada del usuario?

Normalmente, todo lo que se necesita es una codificación/escape riguroso y sensible al contexto de la entrada del usuario siempre que lo imprima o lo incruste en un bloque de salida mayor.

Answer 3

quizá desinfecte joya: http://wonko.com/post/sanitize

Answer 4

¿Por qué quieres para desinfectar las entradas de usuario? ¡Eso ni siquiera tiene sentido! Siempre desea desinfectar (escapar) las salidas, no las entradas, porque el significado de sanitización depende del contexto en el que está usando el contenido. No existe una cadena segura en ningún contexto. No quiere un montón de cadenas alteradas en su base de datos que son "seguras" en cualquier escenario en el que su aplicación las esté utilizando hoy, porque mañana, quizás quiera hacer algo diferente con ellas. Si su capa de presentación está haciendo lo correcto (escapando contenido según el contexto), entonces está bien, no importa cuántas comillas, barras diagonales inversas o declaraciones DROP TABLE contengan.