在rails中消毒用户输入的最佳方法

Question

before_validation :sanitize_content, :on => :create
def sanitize_content
  self.content = ActionController::Base.helpers.sanitize(self.content)
end

另一个选项是使用simple_format或.html_safe或sanitize（fieldname）在视图中显示数据时进行sanitize。我应该在每个字段的所有视图中以及插入上进行消毒吗？在任何地方都必须手动执行此操作似乎不是很有条不紊

谢谢你的帮助

Answer 1

关于用户输入和查询：确保始终使用活动记录查询方法（如.where)，避免使用字符串内插传递参数；将它们作为哈希参数值或参数化语句传递。

关于呈现可能不安全的用户生成的html/javascript内容：从Rails3开始，html/javascript文本会自动进行适当转义，以便在页面上显示为纯文本，而不是解释为html/javascript，因此您不需要显式清理（或使用<%=h(potentially_unsafe_user_generated_content)%>

如果我理解正确的话，只要正确使用活动记录查询方法，您就不需要担心以这种方式对数据进行消毒。例如：

假设我们的参数映射如下所示，这是恶意用户在user_name字段中输入以下字符串的结果：

:user_name => "(select user_name from users limit 1)"

不好的方式（不要这样做）：

Users.where("user_name = #{params[:id}") # string interpolation is bad here

结果查询如下所示：

SELECT `users`.* FROM `users` WHERE (user_name = (select user_name from users limit 1))

Users.where(id: params[:id]) # hash parameters

Users.where("id = ?", params[:id]) # parameterized statement

SELECT `users`.* FROM `users` WHERE user_name = '(select user_name from users limit 1)'

在创建新模型记录时对数据进行清理的情况并不适用，因为new或create方法需要值的哈希值。即使试图将不安全的SQL代码注入到哈希中，哈希的值也被视为纯字符串，例如：

User.create(:user_name=>"bobby tables); drop table users;")

查询中的结果：

INSERT INTO `users` (`user_name`) VALUES ('bobby tables); drop table users;')

所以，和上面的情况一样。