Как в jade запретить выполнение скриптов?

Question

[Vlad Timofeev]

Снова здрасте :)
В шаблон из БД передается допустим содержимое поста, отредактированное юзером(в хтмл).
Вот так:
!{post.text}
Но если там тег скрипт, то jade не игнорит его, а пропускает.. Как отловить эти строки со скриптом и запретить его?

Answer 1

[SagePtr]

#{post.text}
Но находиться должен не вначале строки, а быть вложенным хотя бы во что-то, иначе будет воспринят как тэг.
Например, так:
div.post #{post.text}

Comments

[Vlad Timofeev]

Но тогда jade не дает валидный html, который редактировал юзер

[SagePtr]

Влад Developer: если давать юзеру возможность использовать html, он сможет скрипты исполнять. Как вариант, на стороне сервера проверять отправляемые посты и вырезать весь HTML кроме некоторого разрешённого подмножества. А из разрешённых тэгов вырезать атрибуты, ибо через них тоже можно назначить события.

[Vlad Timofeev]

SagePtr: спасибо.

Answer 2

[Vlad Timofeev]

Comments

[Vlad Timofeev]

смотрите-ка вот в этом ответе я написал alert('Hi!')