0

我試圖用特殊字符輸出我的標題,但它將轉換整個事物。如何將raw()字符串添加到用戶生成的字符串

@title包含用戶生成的內容,所以我想確保它被轉義。它似乎正在轉換整個字符串,並忽略原始數據。我如何做到這一點,所以它仍然安全?

if @title.nil? 
     "Web App" 
    else 
     "#{@title}" + raw(" · Web App") 
    end 

回答

0

這工作在我的觀點:

if @title.nil? 
    "Web App" 
else 
    h("#{@title}") + raw(" · Web App") 
end 
+0

,這肯定不會允許XSS注射? – Tallboy 2012-07-28 00:40:42

+0

對不起,這是一個愚蠢的問題,我只是看了什麼h()做 – Tallboy 2012-07-28 00:41:34

相關問題