如何在Ruby中安全地處理來自TinyMCE的輸入？

Question

我剛剛將TinyMCE添加到我在Rails中構建的小型CMS中。我之前一直使用Redcloth來設置用戶生成的文章的樣式。

由於我開始使用TinyMCE，我想也允許用戶將視頻（來自youtube for ex）嵌入到他們的博客文章中。

我使用後續幫手的觀點：

sanitize(text, 
     :tags => %w(a object p param h1 h2 h3 h4 h5 h6 br hr ul li img), 
     :attributes => %w(href name src type value width height data)) 

這安全嗎？或者我不應該允許這些標籤？如果是這樣，我可以允許哪些標籤？我如何測試以確保？

這仍然在升級。

感謝

德布

Answer 1

你被允許使用您想使用valid_elements configuration option所有標籤，檢查出的默認設置就可以擴大。你也可以看看custom_elements option.