Rails將'Hello＆'保存爲'Hello &'爲什麼？

Question

我有一個標題字段的模型。當我發佈到服務器我看到：

Parameters: {"utf8"=>"✓", "authenticity_token"=>"3Le7aLitPd6MzWFeB0ofI9wk1IuhybNswjG9N+KgJJc=", "poll"=>{"title"=>"Hello &"}} 

問題是那麼DB被保存爲：

Hello & 

所以後來當我輸出的網站上外地它顯示爲Hello &

處理這個問題的正確方法是什麼？我想輸入&來支持，但同時不允許用戶提交html或js標籤。

由於

Answer 1

Sanitize.clean輸出HTML，而不是純文本所以當然你＆符號被轉換爲它們的HTML實體形式（即&）。例如，直接從該fine manual：

Sanitize.clean(html, Sanitize::Config::RESTRICTED) # => '<b>foo</b>'

所以，你是，事實上，存儲HTML片段，而不是純文本的碎片。您應該使用

<%= raw @thing.title %> 

顯示您的標題，因爲它們已通過Sanitize呈現爲HTML安全。