允許用戶使用Tiny MCE添加內容是否安全？

Question

我想補充微小的MCE在我的Rails應用程序，因此每個用戶可以添加一個崗位和樣式使用此工具的文本，有一個危險，如果我允許因爲當我顯示用戶的帖子，有必要使用的東西像這樣

<%= post.content.html_safe %> 

Answer 1

我知道這是一個老問題，但我認爲如果有人正在尋找答案，我會回答。使用html_safe（或原料）顯示用戶添加的內容時並不總是一個好主意，因爲它使你容易受到攻擊（如果我們假設你的用戶不都是好人;）），但有一個導軌幫手叫的sanitize（ http://api.rubyonrails.org/classes/ActionView/Helpers/SanitizeHelper.html#method-i-sanitize），它只是你所需要的，它可以和tinymce編輯器的輸入一起工作。你可以像這樣使用它：

<%= sanitize post.content %>