Ruby Sanitize Code ... 为什么是 & sanitized答案

【问题标题】：Ruby Sanitize Code ... why is & sanitizedRuby Sanitize Code ... 为什么是 & sanitized
【发布时间】：2010-12-08 21:05:24
【问题描述】：

我目前使用以下代码在存储字符串之前对其进行清理：

ERB::Util::h(string)

当字符串已经像这样被清理时会出现我的问题：

string = "Watching baseball `&amp;` football"

净化后的字符串如下所示：

sanitized_string = "Watching baseball `&amp;amp;` football"

我可以通过替换将 < 和 > 变成 &gt; 来消毒吗？

【问题讨论】：

【解决方案1】：

先转义，再转义：

require 'cgi'
string = "Watching baseball &amp; football"

CGI.escapeHTML(CGI.unescapeHTML(string))

=> "Watching baseball &amp; football"

【讨论】：

【解决方案2】：

基于this snippet from Erubis 的快速方法。

ESCAPE_TABLE = { '<'=>'&lt;', '>'=>'&gt;' }
def custom_h(value)
   value.to_s.gsub(/[<>]/) { |s| ESCAPE_TABLE[s] }
end

【讨论】：

【解决方案3】：

是的，你可以，或者更进一步，你可以使用这样的基本正则表达式删除整个标签：

mystring.gsub( /<(.|\n)*?>/, '' )

【讨论】：

【解决方案4】：

您可以编写自己的消毒剂，但在消毒过程中存在很多极端情况和棘手的问题。

更好的方法可能是在对字符串进行清理之前对其进行解编码 - h() 是否有逆向，您可以先将字符串通过？

【讨论】：