Brakeman Error – 未转义的模型属性

我得到了很多错误，如下所示

Unescaped model attribute near line 20: show_errors(Objective.new(objective_params), :name) 

扩展视图

这是我的代码

 module ApplicationHelper # Error Helper for Form def show_errors(object, field_name) if object.errors.any? && object.errors.messages[field_name][0].present? "" + object.errors.messages[field_name][0] + "" else return "" end end end 

Answer 1

来自Brakeman Cross Site Scripting docs：

默认情况下，当参数或cookie值用作方法的参数时，Brakeman也会发出警告，其结果输出未转义为视图。

例如：

 <%= some_method(cookie[:name]) %> 

这引发了一个警告：

 Unescaped cookie value near line 5: some_method(cookies[:oreo]) 

但是，此警告的置信度将较弱，因为它不直接输出cookie值。

最后的陈述可能很重要。 如果您确定您的值已进入视图转义，则可能会忽略/禁用此警告。