FCKEditor с уязвимостью в Rails Security
Я использую FCKEditor в своем приложении Ruby on Rails. Пользователи добавляют сообщения в блоге, используя FCKEditor.
Затем я отображаю сообщения в блоге, используя
@blog.body.html_safe
Я знаю, что FCKEditor экранирует любой код javascript, но что если пользователь отправит запрос с прямыми параметрами и установит тело сообщения в блоге, включая некоторые javascript. Это может быть уязвимость безопасности.
Любая идея, как я могу использовать FCKEditor с Rails безопасно?
1 ответ
Решение
Мы можем использовать HTML-дезинфицирующее средство белого списка для экранирования всех тегов, кроме некоторых тегов форматирования.