<%=h ... %>在Rails中意味着什麼？

Question

我發現here的語法如下：

<%=h @person.first_name %> 

什麼的h手段？

Answer 1

它用於轉義標記的輸出以避免跨站點腳本。在rails 3中，它已經被更改爲字符串的默認值（所以不要說轉義這個字符串，你說這是一個安全的字符串）。

http://api.rubyonrails.org/classes/ERB/Util.html#method-c-h

Answer 2

h是用於在導軌html_escape方法別名。

如果你不使用h轉義文本，那麼有人可以在那裏寫javascript，並且在你渲染頁面時它會被執行。

因此，如果您不確定顯示的數據是絕對安全的，請通過轉義HTML標記字符的過濾器運行它。