XSS-защита в приложении Sinatra

Question

Для html = '<b><a href="http://foo.com/">foo</a></b><img src="http://foo.com/bar.jpg" />' и аналогичного ввода, включая javascript, будет ли что-то подобное (Sanitize.clean(@post.content) # => 'foo') охватывать все базы, чтобы запретить пользователям вводить javascript и html в базу данных?

Должен ли я предпринять дополнительные шаги для дезинфекции ввода пользователя?

Answer 1

Вы можете использовать метод ERB :: Util html_escape (с сокращением h)

См .: http://ruby -doc.org / stdlib-1.9.3 / libdoc/erb/rdoc/ERB/Util.html#method-ch

Примечание. Скопировано из комментария Младена в качестве ответа вики сообщества