直接将用户输入传入strftime是否安全？需注意哪些事项？

这种做法并不安全，主要存在几类风险，同时也有对应的防护措施：

核心风险点 #

• 程序崩溃风险：strftime对格式指令有严格要求，如果用户输入了无效的格式符（比如%X这种不被支持的指令，或者格式错误的组合），会直接抛出ArgumentError异常。如果没有做异常处理，会导致程序崩溃，影响服务稳定性。
• 敏感信息泄露：部分strftime格式符会返回服务器的敏感信息，比如：
  • %Z：返回服务器所在的时区名称，可能暴露服务器物理位置
  • %z：返回时区偏移量，同样会间接泄露位置信息
  • 部分系统扩展的格式指令可能返回更多系统细节（比如进程ID、系统版本等，取决于Ruby的底层实现）
• 输出内容失控：用户可以构造格式字符串生成大量重复内容（比如%Y%Y%Y...），导致输出内容过大，占用过多内存或带宽，影响系统性能。

安全防护措施 #

1. 实现格式符白名单验证 #

只允许用户使用预先定义的安全格式符，过滤掉所有未知或敏感的指令。比如只开放常用的日期时间格式符：%Y（4位年）、%m（2位月）、%d（2位日）、%H（2位时）、%M（2位分）、%S（2位秒），同时允许普通文本字符（字母、数字、常用符号）。

示例代码：

# 定义允许的格式符和普通字符正则
ALLOWED_FORMAT_PATTERN = /\A([a-zA-Z0-9\s\-_.,:;']|%[YmdHMS])*\z/
user_input = params[:custom_format]

if user_input.match?(ALLOWED_FORMAT_PATTERN)
  formatted_date = DateTime.now.strftime(user_input)
else
  # 非法输入处理：返回错误提示或使用默认格式
  formatted_date = DateTime.now.strftime("mytext%Y")
end

2. 强制异常捕获 #

即使做了白名单验证，也可能存在意外情况（比如正则遗漏、底层实现变更），所以一定要用异常捕获包裹strftime调用，避免程序崩溃：

begin
  formatted_date = DateTime.now.strftime(user_input)
rescue ArgumentError => e
  # 记录错误日志，返回默认格式
  Rails.logger.error("Invalid date format input: #{user_input}, error: #{e.message}")
  formatted_date = DateTime.now.strftime("mytext%Y")
end

3. 限制输入长度 #

对用户输入的格式字符串设置长度上限（比如100字符），防止超长输入导致内存占用过高或输出内容过大：

if user_input.length > 100
  # 处理超长输入
  formatted_date = DateTime.now.strftime("mytext%Y")
end

4. 可选：清理输入内容 #

如果需要更严格的控制，可以对输入内容进行清理，移除所有非允许的字符，确保只有安全的内容传入strftime。

内容的提问来源于stack exchange，提问作者karns