Rails：在link_to helper中使用params [：bar]是否安全？

Question

是否可以安全使用link_to助手這樣的視圖或我將不得不爲了防止XSS攻擊消毒params[:bar]？

link_to("name", my_path(foo: params[:bar])) 

我使用的Rails 4.1

Answer 1

參數被消毒。別擔心。這是一個來自Rails控制檯的片段。

Answer 2

params[:bar]簡單地返回一個值，這可能是一個String，Fixnum，Array等，這是不超過傳遞任何其他link_to PARAMS不同。由於您的示例只會發送GET請求，因此不需要Rails約定以外的其他警告。

正如@tadman提到，link_to會妥善處理這個逃逸，所以你可以把任意數據，而不用XSS關注。

如果你將它更改爲POST，PUT，PATCH，或DELETE要求，可以考慮使用button_to代替。