модуль ActionView::Helpers::SanitizeHelper

# File actionview/lib/action_view/helpers/sanitize_helper.rb, line 82
def sanitize(html, options = {})
  self.class.white_list_sanitizer.sanitize(html, options).try(:html_safe)
end

Очищает входные данные HTML, удаляя все теги и атрибуты, которые не включены в белый список.

Он также удаляет атрибуты href/src с небезопасными протоколами, такими как javascript:, а также защищает от попыток использования Unicode, ASCII и шестнадцатеричных кодов символов для обхода этих фильтров протоколов.

По умолчанию используется очиститель Rails::Html::WhiteListSanitizer. См. Rails HTML Sanitizers для получения дополнительной информации.

Также можно указать пользовательские правила очистки.

Обратите внимание, что очистка пользовательского текста не гарантирует, что полученный разметка будет валидной или даже правильно сформированной. Например, вывод может по-прежнему содержать неэкранированные символы, такие как <, >, или &.

Параметры

• :tags - Массив разрешённых тегов.

• :attributes - Массив разрешённых атрибутов.

• :scrubber - Объект Rails::Html scrubber или Loofah::Scrubber, определяющий пользовательские правила очистки. Пользовательский очиститель имеет приоритет над пользовательскими тегами и атрибутами.

Примеры

Нормальное использование:

<%= sanitize @comment.body %>

Предоставление пользовательских тегов и атрибутов в белом списке:

<%= sanitize @comment.body, tags: %w(strong em a), attributes: %w(href) %>

Предоставление пользовательского Rails::Html очистителя:

class CommentScrubber < Rails::Html::PermitScrubber
  def allowed_node?(node)
    !%w(form script comment blockquote).include?(node.name)
  end

  def skip_node?(node)
    node.text?
  end

  def scrub_attribute?(name)
    name == 'style'
  end
end

<%= sanitize @comment.body, scrubber: CommentScrubber.new %>

См. Rails HTML Sanitizer для документации о Rails::Html очистителях.

Предоставление пользовательского Loofah::Scrubber:

scrubber = Loofah::Scrubber.new do |node|
  node.remove if node.name == 'script'
end

<%= sanitize @comment.body, scrubber: scrubber %>

См. документацию Loofah для получения дополнительной информации об определении пользовательских объектов Loofah::Scrubber.

Для установки по умолчанию разрешенных тегов или атрибутов во всем приложении:

# In config/application.rb
config.action_view.sanitized_allowed_tags = ['strong', 'em', 'a']
config.action_view.sanitized_allowed_attributes = ['href', 'title']

# File actionview/lib/action_view/helpers/sanitize_helper.rb, line 87
def sanitize_css(style)
  self.class.white_list_sanitizer.sanitize_css(style)
end

Очищает блок кода CSS. Используется модулем sanitize при встрече с атрибутом style.

# File actionview/lib/action_view/helpers/sanitize_helper.rb, line 115
def strip_links(html)
  self.class.link_sanitizer.sanitize(html)
end

Удаляет все теги ссылок из html, оставляя только текст ссылки.

strip_links('<a href="http://www.rubyonrails.org">Ruby on Rails</a>')
# => Ruby on Rails

strip_links('Please e-mail me at <a href="mailto:me@email.com">me@email.com</a>.')
# => Please e-mail me at me@email.com.

strip_links('Blog: <a href="http://www.myblog.com/" class="nav" target=\"_blank\">Visit</a>.')
# => Blog: Visit.

# File actionview/lib/action_view/helpers/sanitize_helper.rb, line 101
def strip_tags(html)
  self.class.full_sanitizer.sanitize(html, encode_special_chars: false)
end

Удаляет все HTML-теги из html, включая комментарии.

strip_tags("Strip <i>these</i> tags!")
# => Strip these tags!

strip_tags("<b>Bold</b> no more!  <a href='more.html'>See more here</a>...")
# => Bold no more!  See more here...

strip_tags("<div id='top-bar'>Welcome to my website!</div>")
# => Welcome to my website!