#2 楼 @impzx Asset Pipeline 是 Rails 一个组件，非 Rails 项目可以通过 sprockets 这个 gem 引入这个功能。也不一定要用，用上便于处理静态文件。

建立/启动项目跟 Asset Pipeline 不是对应关系。

最后一个问题不理解。

3.6 Git 分支 - 分支的衍合 http://git-scm.com/book/zh/Git-%E5%88%86%E6%94%AF-%E5%88%86%E6%94%AF%E7%9A%84%E8%A1%8D%E5%90%88

比如我的一些提交太乱（什么），合并 master 之后，老会出一些细节问题（什么）。

修改后（什么），我又重新提交（怎么），同事还是还是觉得我的提交太乱了（什么）～不敢合并我的分支。

http://guides.rubyonrails.org/asset_pipeline.html#precompiling-assets

#36 楼 @emerson http://guides.rubyonrails.org/security.html#cross-site-scripting-xss 这里有几个例子。

#6 楼 @lgn21st 97%... 98%... 99%........... 0K/s

#32 楼 @luikore 我觉得不复杂啊，要输出 HTML 就用 sanitize，几乎不用 == raw html_safe。Rails 2 就是默认不 escape，当时爆了什么漏洞然后默认加上 h 了。

#29 楼 @cassiuschen 等于 raw

http://edgeguides.rubyonrails.org/active_support_core_extensions.html#output-safety

#28 楼 @luikore 你们都是裸奔爱好者啊

#19 楼 @jeff_duan 减少依赖，Rails 默认用 sass。

#11 楼 @xautjzd 前面说的是 bootstrap 官方，不是 rails 官方。turbolinks 是属于 rails 官方的。

#8 楼 @xautjzd 从官方网站看 github repo 地址，然后看这个帐号的其他项目。

#6 楼 @xautjzd https://github.com/twbs/bootstrap-sass 官方的

#3 楼 @cassiuschen 一段时间没看 less 了，可能有出入。therubyracer 是 js runtime，要编译 less 总需要 less 库吧。

Sass。在 Rails 引入 Less 库要依赖 less-rails，它打包了一个 js 库，这样就多了一个依赖，而且我记得这个 gem 不太完善。

rvm 现在自动装包了。

#5 楼 @fengzhe 固定值，而且和逻辑绑定的，就用常量行了。

我又看了一遍

需要给页面一个属性 type。

这不是页面的一个字段吗？

type 太多含义了，看完还是没了解场景。一般来说：

1. yaml
2. config

#25 楼 @chechaoyang 有人会觉得自己已经处理过了所以安全了，我总是为所有需要输出 HTML 的内容加 sanitize，除非是 SiteConfig 这种只有管理员输入、可能带有 javascript 的内容。

#7 楼 @hhuai 如果发现漏洞第一时间邮件管理员，我会很感激你的。

#18 楼 @bhuztez #19 楼 @jasl http://guides.rubyonrails.org/security.html#css-injection 找到例子

#13 楼 @jasl #16 楼 @bhuztez 允许 style 属性会导致怎样攻击？

#10 楼 @aptx4869 有片段缓存，其实 body_html 我觉得都不用。

#4 楼 @aptx4869 markdown 的过滤漏了一些，毕竟它不是专门做过滤的。

昨天试了一下 Persona，发现不友好的地方：

• 如果需要补充字段，还是需要表单
• Yahoo/Gmail 以外的邮箱需要在 Persona 设置密码

整个登陆流程会让人困惑，所以我还是选择用 bcrypt 加密自己写登陆逻辑。

用 Mozilla Persona http://chloerei.com/2013/12/06/mozilla-persona/

先 evert.preventDefault() 然后在动画的 callback $form.submit() 看看。

没看明白，这是楼主自己写的教程然后通过 QQ 群分发吗？