Rails：從控制器內部清理輸入

Question

My Rails 3應用程序包含一個未綁定到模型的表單。

我使用form_tag，和我的控制器看起來有點像這樣：

def results 
    local_variable = params[:my_form_field].to_s 
end 

我使用local_variable各種其他位，並在控制器片，所以很明顯，我想我的消毒對「形式非法「的輸入，令人討厭的用戶可能輸入（特別是HTML標籤，甚至是注射）。

我真的需要在控制器中而不是在我看來這樣做。有沒有類似to_s我可以在控制器中使用刪除這些字符？

謝謝！

Answer 1

您可以使用Rails的清理助手：http://api.rubyonrails.org/classes/ActionView/Helpers/SanitizeHelper.html

只要你不eval荷蘭國際集團的local_variable內容或數據庫上執行它，你應該是安全的。