ruby on rails - formularios - La mejor manera de desinfectar los campos en ruby ​​on rails

formularios en ruby on rails

Question

Actualmente tengo un controlador que captura algunos html de TinyMCE en la interfaz. Si jugueteo con Firebug, es posible enviar etiquetas de script e inyectar mensajes de alerta, etc. a la pantalla.

edit: actualmente estoy arreglando esto en el modelo usando el sanitize helper:

require ''action_view''
class NotesController < AuthApplicationController
include ActionView::Helpers::SanitizeHelper
...
def update
params[:note][:content] = sanitize(params[:note][:content],
:tags => %w(a object p param h1 h2 h3 h4 h5 h6 br hr ul li img),
:attributes => %w(href name src type value width height data) );
@note.update_attributes(params[:note])

Esto se siente desordenado en el controlador. ¿Hay una mejor manera? Es decir, de alguna manera integro este ActiveRecord para que pueda especificar fácilmente hacer esto en este y otros campos antes de guardarlo de forma similar a la validación.

Gracias por cualquier sugerencia.

editar:

Haciendo algunos progresos aquí.

En mi / Libs tengo

module SanitizeUtilities
def sanitize_tiny_mce(field)
ActionController::Base.helpers.sanitize(field,
:tags => %w(a b i strong em p param h1 h2 h3 h4 h5 h6 br hr ul li img),
:attributes => %w(href name src type value width height data) );
end
end

Luego, en mis modelos, el código colapsa para

class MyModel < ActiveRecord::Base
include ::SanitizeUtilities
...
before_save :sanitize_content
...
def sanitize_content
self.content = sanitize_tiny_mce(self.content)
end
end

Esto parece eliminar el marcado no deseado sin demasiado alboroto.

Muy nuevo en los rieles tan nervioso que podría estar haciendo algo mal. ¿Alguien puede ver posibles inconvenientes aquí?

Gracias de nuevo

Answer 1

Creo que la forma en que lo está haciendo está bien, pero si está utilizando before_save , es posible que todavía falle las validaciones (ya que se llama a before_save después de las validaciones). Además, no necesariamente tiene que ponerlo en su propio módulo, podría ser un método privado en su clase.

Algo como:

class MyModel < ActiveRecord::Base
before_validation :sanitize_content, :on => :create
private
def sanitize_content
self.content = sanitize_tiny_mce(self.content)
end
def sanitize_tiny_mce(field)
ActionController::Base.helpers.sanitize(field,
:tags => %w(a b i strong em p param h1 h2 h3 h4 h5 h6 br hr ul li img),
:attributes => %w(href name src type value width height data) );
end
end

Answer 2

Parece que esta pregunta es respondida, pero para cualquiera que esté interesado en esto, quizás desee considerar el uso de mutadores personalizados para que esto sea más transparente. Algo como:

class MyModel < ActiveRecord::Base
def content= content
write_attribute(:content, sanitize_tiny_mce(content)
end
private
def sanitize_tiny_mce content
ActionController::Base.helpers.sanitize(field,
:tags => %w(a b i strong em p param h1 h2 h3 h4 h5 h6 br hr ul li img),
:attributes => %w(href name src type value width height data)
);
end
end

Esto asegurará que el contenido se desinfecte cada vez que se modifique.