不要在軌道上的ruby中轉義html

Question

rails 3似乎逃避一切，包括html。我曾嘗試使用raw（），但它仍然轉義html。有沒有解決方法？這是我的幫助，我現在用（/helpers/application_helper.rb）：

module ApplicationHelper 
    def good_time(status = true) 
    res = "" 
    if status == true 
     res << "Status is true, with a long message attached..." 
    else 
     res << "Status is false, with another long message" 
    end 
    end 
end 

我使用此代碼調用助手在我看來：

<%= raw(good_time(true)) %> 

Answer 1

您可以使用.html_safe這樣的：

def good_time(status = true) 
    if status 
    "Status is true, with a long message attached...".html_safe 
    else 
    "Status is false, with another long message".html_safe 
    end 
end 

<%= good_time(true) %> 

Answer 2

我遇到了同樣的事情，並發現了一個更安全的解決方案比使用html_safe，尤其是當你介紹字符串這是動態的。

首先，更新後的代碼：

def good_time(long_message1, long_message2, status = true) 
    html = "".html_safe 
    html << "Status is #{status}, " 
    if status 
    html << long_message1 
    else 
    html << long_message2 
    end 
    html 
end 

<%= good_time(true) %> 

此逃脫long_message的內容，如果它是不安全的，但離開它轉義，如果它是安全的。

這允許"long message for success & such."正確顯示，但也逃脫"malicious message <script>alert('foo')</script>"。

的解釋歸結爲 - 'foo'.html_safe返回的ActiveSupport :: SafeBuffer這就像除了一個在各方面的String：當你添加一個字符串到SafeBuffer（通過調用+或< <），其他字符串在被附加到SafeBuffer之前被HTML轉義。將另一個SafeBuffer附加到SafeBuffer時，不會發生轉義。 Rails使用SafeBuffers渲染所有視圖，因此上面更新的方法最終爲Rails提供了一個SafeBuffer，我們控制它在long_message「按需」而不是「always」執行轉義。

現在，這個答案的功勞完全歸功於Henning Koch，並在Everything you know about html_safe is wrong詳細解釋 - 我上面的回顧只是試圖提供這個鏈接永遠消亡的解釋的本質。