Блог

Мне нужно удалить теги из пользовательского ввода перед сохранением в БД

Я хорошо знаком с методом strip_tags, но он также экранирует строку html, как и все другие рекомендуемые методы:

 Rails::Html::FullSanitizer.new.sanitize 'amp;'
 => "amp;amp;" 
Rails::Html::WhiteListSanitizer.new.sanitize('amp;', tags: [])
 => "amp;amp;" 
ActionController::Base.helpers.strip_tags "amp;"
 => "amp;amp;" 

 

Строка, которую я хочу очистить, НЕ должна экранироваться, она экспортируется через API, используется в файлах и т. Д. он выводится не только через HTML (где также в таких случаях, как link_to ActionController::Base.helpers.strip_tags("amp;") — link_to — двойная экранирующая строка, поэтому вы получите ссылку amp;amp; на интерфейс)

В качестве исправления для обезьян я включил strip_tags, CGI.unescapeHTML чтобы получить более или менее ожидаемый результат, но хочу найти какое-то прямое решение (я также боюсь, что еще может сделать strip_tags, и для этой небольшой функциональности слишком много движущихся частей — больше вещей, которые могут пойти не так или сломаться)

Пример реального мира: JPMorgan Chase amp; Co должен стать JPMorgan Chase amp; Co после удаления тегов

test<script>alert('hacked!');</script>amp;test должно стать testamp;test после удаления тегов

А также строка:

 "test amp;#x3C;scriptamp;#x3E;alert(amp;#x27;hacked!amp;#x27;)amp;#x3C;/scriptamp;#x3E;"
 

Все равно должно быть

 "test amp;#x3C;scriptamp;#x3E;alert(amp;#x27;hacked!amp;#x27;)amp;#x3C;/scriptamp;#x3E;"
 

После удаления HTML’ов

С альтернативными решениями, которые я нашел или которые были предложены:

 > Nokogiri::HTML("test amp;#x3C;scriptamp;#x3E;alert(amp;#x27;hacked!amp;#x27;)amp;#x3C;/scriptamp;#x3E;").text
 => "test <script>alert('hacked!')</script>"

> Loofah.fragment("test amp;#x3C;scriptamp;#x3E;alert(amp;#x27;hacked!amp;#x27;)amp;#x3C;/scriptamp;#x3E;").text(encode_special_chars: false)
 => "test <script>alert('hacked!')</script>"

 

Так что они тоже не подходят

Вы должны проанализировать HTML и извлечь текстовые элементы. Для этого используйте Nokogiri.

 Nokogiri::HTML("<div>Strip <i>this</i> amp; <b>this</b> amp; <u>this</u>!</div>").text
 

Nokogiri уже используется Rails, поэтому его использование не требует затрат.

Вы получите весь текст, включая содержимое <script> тегов.

 Nokogiri::HTML(%q[test<script>alert('hacked!');</script>amp;test]).text

# testalert('hacked!');amp;test
 

Вы можете удалить <script> теги.

 doc = Nokogiri::HTML(%q[test<script>alert('hacked!');</script>amp;test])
doc.search('//script').each { |node| node.replace('') }
doc.text

# testamp;test
 

Но с удаленными тегами строка не причинит вреда. Возможно, это не стоит затраченных усилий.

Подробнее см. В уроках Nokogiri.