रेलवे में डेटाबेस में एचटीएमएल टैग को सुरक्षित रूप से कैसे सुरक्षित/पुनर्प्राप्त करें?

Question

मुझे सुरक्षित रूप से मेरी रेल ऐप में डेटाबेस में HTML टैग को सहेज/पुनर्प्राप्त करने की आवश्यकता है। वर्तमान में मैं नीचे की तरह किसी भी मान्यता के बिना एचटीएमएल बचाने:

<h2>Sample title</h2> 
<p>sample description</p> 

और ध्यान में रखते हुए मैं <%=raw @page.desription %> का उपयोग करें। यह उम्मीद के रूप में काम करता है। लेकिन मुझे यह जानने की ज़रूरत है कि यह सुरक्षित है या नहीं?

Answer 1

आप कभी भी यह सुनिश्चित नहीं कर सकते कि यह सुरक्षित है। हमेशा उपयोगकर्ता के इनपुट को शत्रुतापूर्ण मानें।

हालांकि, द्वारा यदि "सुरक्षित" क्या आपका मतलब है "से रहित संभावित वास्तव में <script> और <style> तरह हानिकारक तत्वों", तो मैं तुम्हें Sanitization Helper को प्रस्तुत करते हैं। आप अपने एचटीएमएल को डेटाबेस से प्रिंट कर सकते हैं और केवल टैग की एक निश्चित श्वेतसूची की अनुमति दे सकते हैं।

<%=raw sanitize @page.description, tags: %w(h2 p strong em a), attributes: %w(id class href) %>

ऊपर के उदाहरण सभी h2, p, strong, em और a टैग, और उन पर केवल id, class और href विशेषताओं की अनुमति देगा। बाकी सब कुछ हटा दिया जाएगा।

Answer 2

यह तब तक सुरक्षित है जब तक यह एक विश्वसनीय स्रोत से है, अन्यथा आप नहीं जान पाएंगे कि वे वास्तव में क्या स्टोर कर रहे हैं। तो यदि आप इसे संग्रहित करने वाले एकमात्र व्यक्ति हैं, तो इसके लिए जाएं।