输出或输入过滤？
我经常看到有人写“过滤你的输入”、“清理你的输入”，不信任用户数据，但我只同意最后一个，我认为相信任何外部数据都是一个坏主意，即使它是相对于系统内部。
输入过滤: 我看到的最常见的。 采取表单发布数据或任何其他外部信息源并在保存时定义一些边界，例如确保文本是文本，数字是数字，sql 是有效的 sql，html 是有效的 html 并且它不包含有害的标记，然后将“安全”数据保存在数据库中。
但是在获取数据时，您只需使用数据库中的原始数据。
在我个人看来，数据从来都不是真正安全的。 尽管这听起来很简单，只需过滤从表单和 url 中获得的所有内容，但实际上它比这要难得多，它可能对一种语言安全但对另一种语言不安全。
输出过滤: 这样做时，我将原始未更改的数据(无论它是什么)与准备好的语句一起保存到数据库中，然后在访问数据时过滤掉有问题的代码，这有其自身的优势: 这在 html 和服务器端脚本之间添加了一个层。 我认为这是某种数据访问分离。
现在根据上下文过滤数据，例如，我可以将数据库中的数据作为纯转义文本、html 或任何地方的任何内容呈现在 html 文档中。
这里的缺点是您永远不要忘记添加过滤，这比输入过滤要难一点，并且在提供数据时会占用更多的 CPU。
这并不意味着你不需要做验证检查，你仍然需要做，只是你不保存过滤后的数据，你验证它并在数据不知何故时向用户提供错误消息无效。
因此与其说“过滤你的输入”，不如说应该是“验证你的输入，过滤你的输出”。
那么我应该选择“输入验证和过滤”还是“输入验证和输出过滤”？
最佳答案
输入和输出没有通用的“过滤”。
验证您的输入，转义您的输出。如何执行此操作取决于上下文。
验证是关于确保输入落在合理的范围内，例如字符串的长度、美元金额的数量或正在更新的记录归执行更新的用户所有。这是关于保持数据的逻辑一致性，并防止人们做一些事情，比如将他们购买的产品的价格归零或删除他们不应该访问的记录。它与“过滤”或转义输入中的特定字符无关。
转义是一个上下文问题，只有当您处理的数据可能因注入(inject)某些字符而中毒时才真正有意义。转义发送给浏览器的数据中的 HTML 字符。对发送到数据库的数据中的 SQL 字符进行转义。在 JavaScript 中编写数据时转义引号 <script>标签。请注意您正在处理的数据将如何被您传递到的系统解释并相应地转义。
关于php - 输出或输入过滤？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/3936774/
为了将Cucumber用于命令行脚本，我按照提供的说明安装了arubagem。它在我的Gemfile中，我可以验证是否安装了正确的版本并且我已经包含了require'aruba/cucumber'在'features/env.rb'中为了确保它能正常工作，我写了以下场景:@announceScenario:Testingcucumber/arubaGivenablankslateThentheoutputfrom"ls-la"shouldcontain"drw"假设事情应该失败。它确实失败了，但失败的原因是错误的:@announceScenario:Testingcucumber/ar
我正在使用puppet为ruby程序提供一组常量。我需要提供一组主机名，我的程序将对其进行迭代。在我之前使用的bash脚本中，我只是将它作为一个puppet变量hosts=>"host1,host2"我将其提供给bash脚本作为HOSTS=显然这对ruby不太适用——我需要它的格式hosts=["host1","host2"]自从phosts和putsmy_array.inspect提供输出["host1","host2"]我希望使用其中之一。不幸的是，我终其一生都无法弄清楚如何让它发挥作用。我尝试了以下各项:我发现某处他们指出我需要在函数调用前放置“function_”……这
这是一道面试题，我没有答对，但还是很好奇怎么解。你有N个人的大家庭，分别是1,2,3,...,N岁。你想给你的大家庭拍张照片。所有的家庭成员都排成一排。“我是家里的friend，建议家庭成员安排如下:”1岁的家庭成员坐在这一排的最左边。每两个坐在一起的家庭成员的年龄相差不得超过2岁。输入:整数N，1≤N≤55。输出:摄影师可以拍摄的照片数量。示例->输入:4，输出:4符合条件的数组:[1,2,3,4][1,2,4,3][1,3,2,4][1,3,4,2]另一个例子:输入:5输出:6符合条件的数组:[1,2,3,4,5][1,2,3,5,4][1,2,4,3,5][1,2,4,5,3][
我想使用spawn(针对多个并发子进程)在Ruby中执行一个外部进程，并将标准输出或标准错误收集到一个字符串中，其方式类似于使用Python的子进程Popen.communicate()可以完成的操作。我尝试将:out/:err重定向到一个新的StringIO对象，但这会生成一个ArgumentError，并且临时重新定义$stdxxx会混淆子进程的输出。 最佳答案 如果你不喜欢popen，这是我的方法:r,w=IO.pipepid=Process.spawn(command,:out=>w,:err=>[:child,:out])
是否有简单的方法来更改默认ISO格式(yyyy-mm-dd)的ActiveAdmin日期过滤器显示格式？ 最佳答案 您可以像这样为日期选择器提供额外的选项，而不是覆盖js:=f.input:my_date,as::datepicker,datepicker_options:{dateFormat:"mm/dd/yy"} 关于ruby-on-rails-事件管理员日期过滤器日期格式自定义，我们在StackOverflow上找到一个类似的问题： https://s
我想知道Ruby用来在命令行打印这些东西的输出流:irb(main):001:0>a="test"=>"test"irb(main):002:0>putsatest=>nilirb(main):003:0>a=>"test"$stdout是否用于irb(main):002:0>和irb(main):003:0>？而且，在这两次调用之间，$stdout的值是否有任何变化？另外，有人能告诉我打印/写入这些内容的Ruby源代码吗？ 最佳答案 是的。而且很容易向自己测试/证明。在命令行试试这个:ruby-e'puts"foo"'>test.
我有一个名为Post的类，我需要能够适应以下场景:如果用户选择了一个类别，则只显示该类别的帖子如果用户选择了一种类型，则只显示该类型的帖子如果用户选择了一个类别和类型，则只显示该类别中该类型的帖子如果用户没有选择任何内容，则显示所有帖子我想知道我的Controller是否不可避免地会因大量条件语句而显得粗糙...这是我解决此问题的错误方法-有谁知道我如何才能做到这一点？classPostsController 最佳答案 您最好遵循“胖模型，瘦Controller”的惯例，这意味着您应该将这种逻辑放在模型本身中。Post类应该能够报告
我在使用自定义RailsFormBuilder时遇到了问题，从昨天晚上开始我就发疯了。基本上我想对我的构建器方法之一有一个可选block，以便我可以在我的主要content_tag中显示其他内容。:defform_field(method,&block)content_tag(:div,class:'field')doconcatlabel(method,"Label#{method}")concattext_field(method)capture(&block)ifblock_given?endend当我在我的一个Slim模板中调用该方法时，如下所示:=f.form_field:e
我正在我的Rails项目中安装Grape以构建RESTfulAPI。现在一些端点的操作需要身份验证，而另一些则不需要身份验证。例如，我有users端点，看起来像这样:moduleBackendmoduleV1classUsers现在如您所见，除了password/forget之外的所有操作都需要用户登录/验证。创建一个新的端点也没有意义，比如passwords并且只是删除password/forget从逻辑上讲，这个端点应该与用户资源。问题是Grapebefore过滤器没有像except,only这样的选项，我可以在其中说对某些操作应用过滤器。您通常如何干净利落地处理这种情况？
这是针对我无法破坏的现有公共(public)API，但我确实希望对其进行扩展。目前，该方法采用字符串或符号或任何其他在作为第一个参数传递给send时有意义的内容我想添加发送字符串、符号等列表的功能。我可以只使用is_a吗？数组，但还有其他发送列表的方法，这不是很像ruby。我将调用列表中的map，所以第一个倾向是使用respond_to?:map。但是字符串也会响应:map，所以这行不通。 最佳答案 如何将它们全部视为数组？String的行为与仅包含String的Array相同:deffoo(obj,arg)[*arg].eac
