CKEDITOR disallowedContent不执行任何操作

Question

我想让我的用户可以使用ckeditor的“源”来插入html，但是我想禁止一些标签来避免xss攻击

我正试图在config.js

中禁止这样的脚本标签

config.allowedContent = {
    $1: {
        elements: CKEDITOR.dtd,
        attributes: true,
        styles: true,
        classes: true
    }
};
config.disallowedContent = 'script;';

但这不起作用，我可以继续使用<script/>标签

我也做了

config.disallowedContent = 'script;';

也不起作用。

我正在使用CKEDITOR 4.11.1和Rails 5.x。