Rails - javascript injection

Question

私はRails 3とRuby 1.9.2を使用しています。私はもちろんの私の投稿フォームに

"<script language='javascript'>alert('test');</script>" 

を追加すると、それはjavascriptのアラートを実行し、私は私の投稿の内容を表示していたとき、私はちょうど

<%=@post.content%> 

をやっている何か特別なことをやっています！

保存する前と表示する前に両方ともhtml_safeを追加しようとしましたが、何も修正されませんでした。

セキュリティコードを追加する必要がある場合、投稿を保存する前に、または表示する前に追加する必要がありますか？私はレール3がそれ自体をやっていると聞きましたので、セキュリティについてあまり気にしませんでしたが、まだ注意が必要な主なことがいくつかあります。

Answer 1

レールで3を見てね、あなたの視野に入れて何かをエスケープについては非常に厳しいですが、Railsの2およびそれ以前にこれを行うには、あなたの責任でした。あなたはhヘルパーメソッドを使用して、すべてをエスケープする必要があります。

<%= h(value) %> 

あなたはビューに表示何も、すべてをエスケープしている特定のでなければならない任意のユーザ入力を受け付けるアプリケーションを構築します。

Answer 2

あなたはRails 3を使用していますか？ javascriptのものは自動的にエスケープする必要があります。

しかし、XSSの防止に関する詳しい情報は、私はちょうどRyan Bates' RailsCasts.