Rails：在link_to helper中使用params [：bar]是否安全？

Question

是否可以安全使用link_to助手这样的视图或我将不得不为了防止XSS攻击消毒params[:bar]？

link_to("name", my_path(foo: params[:bar])) 

我使用的Rails 4.1

Answer 1

参数被消毒。别担心。这是一个来自Rails控制台的片段。

Answer 2

params[:bar]简单地返回一个值，这可能是一个String，Fixnum，Array等，这是不超过传递任何其他link_to PARAMS不同。由于您的示例只会发送GET请求，因此不需要Rails约定以外的其他警告。

正如@tadman提到，link_to会妥善处理这个逃逸，所以你可以把任意数据，而不用XSS关注。

如果你将它更改为POST，PUT，PATCH，或DELETE要求，可以考虑使用button_to代替。