rails view 中默认处理了 xss 问题，可以让我们不用关心这个问题

但是当我们有客户端的时候，客户端通过 API 和 Rails 通信，客户端还是 node-webkit 做的，这种情况下应该如何处理 xss 的问题呢？

是写入数据库之前就做转换还是在客户端中处理呢？