在Rails中剝離標籤

Question

我正在製作Rails應用程序，並且有關於剝離標籤文本的問題。在視圖顯示用戶提交的文本的任何地方使用strip_tags方法是否正常？或者應該在模型中驗證所有輸入，然後在視圖中不需要strip_tags方法？這將是很多地方添加這個，因此我想知道我是否正確。

Answer 1

如果您使用的是Rails 3+，它會自動轉義從Ruby視圖中輸出的所有內容。無事可做，默認安全。

如果您正在使用Rails 2.3或更低版本，請使用<%= h some_var %>來逃避潛在的有害變量。

此外，您可以使用帶有Rails 2.3的gem rails_xss來添加來自Rails 3的保護

Answer 2

我會去除輸入/保存的所有標籤，然後您不必擔心它以後。如果您確實想要維護標籤，那麼請考慮使用Presenter設計模式，並且只需將所有模型數據輸出通過其演示者，然後您就可以將標籤剝離到一個位置。