Sanitize gem не любит двоеточие внутри атрибута href - PullRequest
Новая
       1

Sanitize gem не любит двоеточие внутри атрибута href

0 голосов
/ 12 мая 2011

Используя самоцвет Sanitize, я очищаю HTML.В атрибуте href моих тегов привязки я хочу проанализировать следующее:

<a href="#fn:1">1</a>

Это необходимо для реализации сносок с использованием гема Kramdown .

Однако Sanitize, похоже, не нравится двоеточие внутри атрибута href.Вместо этого он просто выводит <a>1</a>, полностью пропуская атрибут href.

Мой код sanitize выглядит следующим образом: 

# Setup whitelist of html elements, attributes, and protocols that are allowed.
allowed_elements = ['h2', 'a', 'img', 'p', 'ul', 'ol', 'li', 'strong', 'em', 'cite', 
  'blockquote', 'code', 'pre', 'dl', 'dt', 'dd', 'br', 'hr', 'sup', 'div']
allowed_attributes = {'a' => ['href', 'rel', 'rev'], 'img' => ['src', 'alt'], 
  'sup' => ['id'], 'div' => ['class'], 'li' => ['id']}
allowed_protocols = {'a' => {'href' => ['http', 'https', 'mailto', :relative]}}

# Clean text of any unwanted html tags.
html = Sanitize.clean(html, :elements => allowed_elements, :attributes => allowed_attributes, 
  :protocols => allowed_protocols)

Есть ли способ заставить Sanitize принять двоеточие в hrefатрибут?

1 Ответ

3 голосов
/ 16 мая 2011

Это Sanitize, делающий самую безопасную вещь по умолчанию. Предполагается, что часть URL-адреса перед : является протоколом (или схемой в терминологии RFC 1738), и поскольку #fn отсутствует в белом списке протокола, весь атрибут href удаляется.

Можно разрешить подобные URL-адреса, добавив #fn в белый список протокола: 

allowed_protocols = {'a' => {'href' => ['#fn', 'http', 'https', 'mailto', :relative]}}
...