如何使用Rails ActionView助手防止select_tag中的XSS攻击？

你的问题出在用sanitize处理整个select_tag输出的方式不对——sanitize仅负责过滤HTML标签本身（比如保留你指定的select、option标签），但不会处理option内部的文本内容，导致恶意脚本被浏览器解析执行。

下面是几种可行的解决方法：

方法1：转义所有HTML特殊字符（推荐） #

使用Rails内置的html_escape方法（简写为h），将每个District的name转义为纯文本，让浏览器把恶意代码当作普通内容渲染，而非可执行的HTML。修改后的代码如下：

<%= select_tag "event[city]", options_for_select(District.all.map { |d| [h(d.name), d.name] }, @event.city), { class: "form-control", data: { action: "change->events#update" }, include_blank: I18n.t("form.select") } %>

这里通过map把每个District对象转换为[转义后的显示文本, 原始name值]的数组，传给options_for_select，确保下拉选项的文本不会被解析为HTML。

方法2：清理恶意HTML标签（若需保留安全格式） #

如果你需要保留一些安全的HTML格式标签（比如<b>、<i>），可以用sanitize单独处理每个name，它会过滤掉恶意标签（如<img>），只保留白名单内的标签：

<%= select_tag "event[city]", options_for_select(District.all.map { |d| [sanitize(d.name), d.name] }, @event.city), { class: "form-control", data: { action: "change->events#update" }, include_blank: I18n.t("form.select") } %>

方法3：模型层封装安全逻辑（优化代码结构） #

为了避免视图代码冗余，可以在District模型中添加一个方法统一处理安全显示逻辑：

# app/models/district.rb
class District < ApplicationRecord
  def safe_display_name
    ActionController::Base.helpers.html_escape(name)
    # 若要使用sanitize，替换为：ActionController::Base.helpers.sanitize(name)
  end
end

之后在视图中直接调用该方法即可：

<%= select_tag "event[city]", options_for_select(District.all.map { |d| [d.safe_display_name, d.name] }, @event.city), { class: "form-control", data: { action: "change->events#update" }, include_blank: I18n.t("form.select") } %>

内容的提问来源于stack exchange，提问作者Juhanattori