XSS в Rails 'JSON

Question

Я рендеринг контента с использованием Backbone в Rails.Некоторые из свойств json, которые я получаю из моделей, будут html-атрибутами, некоторые из них могут быть использованы внутри javascript, а другие будут вставлены между html-элементами.Все это требует различных механизмов ухода, как люди справляются с этим?

Answer 1

В нашем проекте мы используем doT шаблоны , которые (как и большинство других) допускают интерполяцию с кодированием ({{! ... }}).Вы также можете попытаться закодировать все данные и убрать все возможные стороны сервера javascripts, когда данные сохранены, чтобы быть на 100% уверенными, что вы не получите ничего вредоносного

Кроме того, если вы используете методы jquery, не забудьте использовать textметод вставки данных, а не html, так как текст автоматически его кодирует.

И я действительно рекомендую doT!Это супер быстро, и нам удалось заставить его играть очень хорошо с requirejs