如何在ruby中安全地清理TinyMCE的输入？

Question

我刚刚将TinyMCE添加到我在Rails中构建的小型CMS中。我之前一直在使用Redcloth来设置用户生成的文章。

自从我开始使用TinyMCE以来，我还想允许用户将视频（从youtube for ex）嵌入到他们的博客帖子中。

我在视图中使用了跟随帮助：

sanitize(text,
        :tags => %w(a object p param h1 h2 h3 h4 h5 h6 br hr ul li img),
        :attributes => %w(href name src type value width height data) )

这样安全吗？或者我不应该允许这些标签？如果是这样，我可以允许哪些标签？我该如何测试才能确定？

这仍在进行中。

由于

德布

Answer 1

您可以使用valid_elements configuration option使用所需的所有标签，请查看可以展开的默认设置。您还可以查看custom_elements option.