以最安全的方式填充HTML`a`標記的`href`屬性值

Question

我正在使用Ruby on Rails 3.0.7，並且想要在視圖文件中填充HTML a標記的href屬性值。

<a href="<populating_value>">Test name</a> 

我打算檢索來自輸入表格文本字段值（以下簡稱「<populating_value>」）。

什麼是最安全過程（步驟驗證從在視圖文件輸出）做出的？我在哪裏可以找到關於此事的深層信息？你有什麼建議（例如：如果用戶輸入的字符串沒有以前的安全檢查，填寫href屬性值安全嗎？）？

注意：該值可以是URL或電子郵件地址。

Answer 1

使用link_to和逃避字符串有什麼錯？如果您不確定琴絃的安全性，請撥打link_to "Test name", h(link)查看http://api.rubyonrails.org/classes/ActionView/Helpers/UrlHelper.html#method-i-link_to瞭解更多信息。

即使沒有調用h，該字符串也應該被轉義。嘗試閱讀XSS protection in Rails上的這篇博文。