Cross Site Scripting

Another common security issue is cross site scripting. In this episode you will see why it is so important to escape any HTML a user may submit.
 
另一个常见的安全性问题就是跨站脚本***。这节来看一下为什么屏蔽用户提交的html的重要性。
 
例：
如果不屏蔽html，在某论坛发表comment
Testing <script>alert('test')</script>
 
很明显，如果不屏蔽，每次刷新页面都会将这段js代码执行一次
 
或者这样
Got your cookies!<script>alert(document.cookie)</script>
都是具有***性的script
解决方法很简单，对需要屏蔽HTML代码的地方加上h
譬如<%= h(comment.content)%>
还有sanitize也可以实现，但是不推荐
 
另外一种方式就是在存入数据库之前就屏蔽掉某些html标记：
在controller中
def create
   CGI::escapeHTML(...)
end