"悪意のある"ユーザ入力をレールアプリケーションに拒否する一般的な方法があります

Question

私はRuby on Rails 3.1.0を使用しています。データベース。

たとえば、URLを格納するデータベーステーブルの列があります。検証（長さチェックのみ）を受けたユーザーはhttp://<script>alert('hello!');</script>のようなURLを送信できます。 私は上記のようなリンクを保存することを許可しないと思います...どのように私はそれを行うことができますか？

Answer 1

行うには、適切なものが想定さURLを解析し、各コンポーネントをチェックするためにURIを使用している：これを停止する必要がある場合

validate :url_check 

def url_check 
    u = URI.parse(self.url) 
    # check u.scheme, u.userinfo, etc. and call errors.add(:url, '...') 
    # if something is invalid. 
rescue URI::InvalidURIError 
    errors.add(:url, 'You are being naughty.') 
end 

Answer 2

これらのリンクはデータベースにありますが、害はありません。問題をレンダリングしようとすると、問題が発生することがあります。 Railsは、あなたが出力するほとんどのものをエスケープするのに良い仕事をします（私は確かにわからないので "すべて"と言うことを敢えてしませんでした）。

あなたは余分なことを確認し、文字列を自分で脱出することができます

CGI.escape your_link_url 

はリンク：CGI.escape

Answer 3

あなたはそれが< '、 '>' URLずに有効なURLです検証するために正規表現を使用することができます。 HTMLはそれが適用される場所でエンコードします。