link_to 中的 XSS 不安全参数值

Question

Code Climate 在 html.haml 之一的这行代码上给了我一个“跨站脚本”错误：

= link_to 'Next', @redirect_uri, data: { no_turbolink: true }, class: 'btn btn-primary'

在控制器中，@redirect_uri 是：

@redirect_uri = params[:redirect_uri] << "&show_more_pages=false"

params[:redirect_uri] 是一个非常长的 url，其中包含重定向 uri。

究竟出了什么问题，我怎样才能让 Code Climate 满意？

Answer 1

Code Climate 正在抱怨，因为您正在将潜在的用户提供的内容嵌入redirect_uri到您的页面中。该 URI 可能是 JavaScript，它将在用户单击链接时执行。因为用户单击页面呈现的链接，JS 就可以访问该页面，就像您自己编写代码一样，因此狡猾的人可以窃取您只希望用户和服务器有权访问的各种信息。

使用如下链接尝试一下：

http://your.web.site/?redirect_uri=alert('Boom');

由于您在 Rails 中，因此您可以访问sanitize，它会为您清除 URL 中的邪恶部分，并且我希望代码气候会安静下来。还有一些可能有帮助的问题：

• 清理 URL 以防止 Rails 中的 XSS
• 使用用户输入的 URL 处理安全性并避免 XSS 的最佳方法