Rails 中的语言环境切换导致 url 参数被丢弃

Question

直到最近，我一直在使用params.merge 来处理这个问题，但是我收到了一个 XSS 漏洞的警报，需要找到更好的方法来处理区域切换。大多数页面现在完全没问题，但某些 url 会有我需要保留的参数，例如：

movies/123456/seat?ticket_id=1670&locale=en&time_type=2

现在从导航栏处理区域设置切换：

<li><%= link_to "English", locale: "en" %></li>

不幸的是，切换区域设置（EG；到日语）会导致以下结果：

movies/123456/seat?locale=ja

有什么方法可以保留参数（不像以前那样使用 params.merge）还是需要重新处理我的应用程序的大块来解决这个问题？

Answer 1

您可以创建一个方法来白名单和清理参数：

module ParamsHelper
  def merge_and_santize_params(*whitelist)
     params.permit(*whitelist)
           .transform_values! { |v| sanitize v }
           .merge(locale: I18n.current_locale)
  end
end

---

<li><%= link_to "English", merge_and_santize_params(:time_type, :ticket_id) %></li>

这使用了ActionView::Helpers::SanitizeHelper，这总比没有好，但仍可能容易受到精心设计的攻击。