rails中h()方法和sanitize的区别及Html Filter
来源:互联网 发布:windows平板电脑2016 编辑:程序博客网 时间:2024/05/18 02:54
一般来说,通常使用input的field都会做一些filter的动作,避免被不怀好意之徒塞一些危险的HTML code(script等)进去搞破坏。在ROR中,我们在前面加一个h()(一般不用括号?不容易看到?)即可,h在ROR中起什么作用呢?他是html_escape的alias(别名),他会将所有的"<xx>"变成<;,>,比如:
js 代码
- <script>alert('a');</script>
会变成:
<script>alert('a');</script>
这样就完全做不了乱了。因为所有的tag都被搞掉了。这样太严格了,有时候我们需要开放一些字体,颜色等tag给用户使用,用h()就不行了,正好ROR中还有个方法,sanitize()这个方法可以帮你实现这个愿望。ROR API中:
Sanitizes the given HTML by making form and script tags into regular text, and removing all "onxxx" attributes (so that arbitrary Javascript cannot be executed). Also removes href attributes that start with "javascript:".
它会砍掉script这个tag,以及onXxxx之类的attribut,你没有机会执行javascript,但是你还可以塞一些div或iframe之类的tag让你的版面烂掉。
所以我们需要自定义一个html filter,可以自由的指定我们放行的那些tag。网上发现了这个sanitize.rb,完美的帮我们实现愿望。如何使用:
所以我们需要自定义一个html filter,可以自由的指定我们放行的那些tag。网上发现了这个sanitize.rb,完美的帮我们实现愿望。如何使用:
第一行:
ruby 代码
- def sanitize( html, okTags='a href, b, br, i, p' )
okTags代表就是允许的tag,目前有a,b,br,i,p之类的tag,如果输入<iframe>xxx</iframe>之类的不允许的code,就会出现
xxx.不允许的结果都将被砍掉。如果想增加span,或font这样的tag,则可以:
ruby 代码
- def sanitize( html, okTags='a href, b, br, i, p, span, font' )
a href之间没有用逗号隔开,是代表sanitize允许a这个tag使用href这个attribute,比如:
<a href="[url]http://blackanger.javaeye.com[/url]" _fcksavedurl="http://lightyror.blogspot.com" target="_blank">Haha</a>
只会出现: <a href=[url]http://blackanger.javaeye.com[/url]>Haha</a>,只有href这个属性可以保留,其他的被无情的砍掉。当我们输入这样的代码:
<a href=[url]http://blackanger.javaeye.com[/url]>Haha
会自动帮你补齐tag:
<a href=[url]http://blackanger.javaeye.com[/url]>Haha</a> 0 0
- rails中h()方法和sanitize的区别及Html Filter
- ROR中h()方法和sanitize的区别及Html Filter
- Rails报找不到sanitize和raw方法的解决
- html_safe、raw、sanitize和h()
- Rails sanitize
- Rails中scope和类方法的区别
- jQuery中find()方法和filter()方法的区别
- <iostream> 和 <iostream.h>的区别 及 Linux下编译iostream.h的方法
- Rails中的raw、html_safe、sanitize
- jquery方法find和filter的区别
- j2ee 中Filter和Listener的区别
- jQuery中find和filter的区别
- jQuery中filter()和find()的区别
- jQuery中filter()和find()的区别
- jQuery中find和filter的区别
- scala中takewhile 和 filter的区别
- C++中,关于#include<***.h>和#include"***.h"的区别
- JSF中h:message 和h:messages 的区别
- Android开发之访问和显示网络图片
- LeetCode Binary Tree Zigzag Level Order Traversal
- INNER JOIN, LEFT JOIN, RIGHT JOIN和FULL OUTER JOIN的区别
- 康托展开
- windows下配置ssh访问github
- rails中h()方法和sanitize的区别及Html Filter
- Java类初始化阶段静态初始化不抛出异常
- concurrentmodificationexception异常
- 针式打印机设置字号大小
- 阿里笔试题目总结
- 神之惩戒—-MMORPG的困局
- 杭州电子科技大学ACM-1091
- poj 1655 Balancing Act(树的重心)
- ORA-00937: 不是单组分组函数