不要在轨道上的ruby中转义html

Question

rails 3似乎逃避一切，包括html。我曾尝试使用raw（），但它仍然转义html。有没有解决方法？这是我的帮助，我现在用（/helpers/application_helper.rb）：

module ApplicationHelper 
    def good_time(status = true) 
    res = "" 
    if status == true 
     res << "Status is true, with a long message attached..." 
    else 
     res << "Status is false, with another long message" 
    end 
    end 
end 

我使用此代码调用助手在我看来：

<%= raw(good_time(true)) %> 

Answer 1

您可以使用.html_safe这样的：

def good_time(status = true) 
    if status 
    "Status is true, with a long message attached...".html_safe 
    else 
    "Status is false, with another long message".html_safe 
    end 
end 

<%= good_time(true) %> 

Answer 2

我遇到了同样的事情，并发现了一个更安全的解决方案比使用html_safe，尤其是当你介绍字符串这是动态的。

首先，更新后的代码：

def good_time(long_message1, long_message2, status = true) 
    html = "".html_safe 
    html << "Status is #{status}, " 
    if status 
    html << long_message1 
    else 
    html << long_message2 
    end 
    html 
end 

<%= good_time(true) %> 

此逃脱long_message的内容，如果它是不安全的，但离开它转义，如果它是安全的。

这允许"long message for success & such."正确显示，但也逃脱"malicious message <script>alert('foo')</script>"。

的解释归结为 - 'foo'.html_safe返回的ActiveSupport :: SafeBuffer这就像除了一个在各方面的String：当你添加一个字符串到SafeBuffer（通过调用+或< <），其他字符串在被附加到SafeBuffer之前被HTML转义。将另一个SafeBuffer附加到SafeBuffer时，不会发生转义。 Rails使用SafeBuffers渲染所有视图，因此上面更新的方法最终为Rails提供了一个SafeBuffer，我们控制它在long_message“按需”而不是“always”执行转义。

现在，这个答案的功劳完全归功于Henning Koch，并在Everything you know about html_safe is wrong详细解释 - 我上面的回顾只是试图提供这个链接永远消亡的解释的本质。