ruby-on-rails - 使用 gsub 插入链接时如何避免 html_safe？

Question

一个简化的例子是这样的:

def expand_links(message)
  message = strip_tags(message)
  message = message.gsub('[register]') { link_to('register', new_user_path) }
  message = message.gsub('[login]') { link_to('login', new_sessions_path) }
  message.html_safe
end

我正在使用 strip_tags 但要确保没有 XSS 的机会。

那么在没有 strip_tags 和 html_safe 的情况下，正确的方法是什么？

Answer 1

这是我从@iceman 的 suggestion 中所做的:

  def expand_links(message)
    message = strip_tags(message)
    message = message.gsub('[register]') { link_to('register', new_user_path) }
    message = message.gsub('[login]') { link_to('login', new_sessions_path) }
    sanitize(message, tags: ['a'], attributes: ['href'])
  end

(BTW sanitize 不适用于符号)

https://api.rubyonrails.org/classes/ActionView/Helpers/SanitizeHelper.html