nicht entkommen HTML in Ruby auf Schienen

Question

Schienen 3 scheint alles zu entkommen, einschließlich HTML. Ich habe versucht, rohe() zu verwenden, aber es entkommt immer noch HTML. Gibt es eine Problemumgehung? Das ist mein Helfer, ich bin mit (/helpers/application_helper.rb):

module ApplicationHelper 
    def good_time(status = true) 
    res = "" 
    if status == true 
     res << "Status is true, with a long message attached..." 
    else 
     res << "Status is false, with another long message" 
    end 
    end 
end 

ich die Helfer in meiner Ansicht nenne diesen Code verwenden:

<%= raw(good_time(true)) %> 

Answer 1

Sie .html_safe wie diese verwenden:

def good_time(status = true) 
    if status 
    "Status is true, with a long message attached...".html_safe 
    else 
    "Status is false, with another long message".html_safe 
    end 
end 

<%= good_time(true) %> 

Answer 2

ich lief in die gleiche Sache und entdecken eine sicherere Lösung als html_safe mit, vor allem, wenn Sie Zeichenfolge einführen, die dynamisch sind.

Zuerst wird der aktualisierte Code:

def good_time(long_message1, long_message2, status = true) 
    html = "".html_safe 
    html << "Status is #{status}, " 
    if status 
    html << long_message1 
    else 
    html << long_message2 
    end 
    html 
end 

<%= good_time(true) %> 

Dieser entkommt long_message Inhalt, wenn es nicht sicher ist, überlässt es aber unescaped wenn es sicher ist.

Dies ermöglicht "long message for success & such." ordnungsgemäß anzuzeigen, aber auch "malicious message <script>alert('foo')</script>".

Die Erklärung läuft darauf hinaus, diese nach unten - 'foo'.html_safe ein Active zurück :: Safebuffer, die in jeder Hinsicht mit einer Ausnahme wie ein String wirkt: Wenn Sie anhängen einen String an einen Safebuffer (von + oder < Aufruf <), dass andere String ist HTML-maskiert, bevor es an den SafeBuffer angehängt wird. Wenn Sie einen anderen SafeBuffer an einen SafeBuffer anhängen, wird kein Entweichen auftreten. Rails rendert alle Ihre Ansichten unter Verwendung der SafeBuffers unter der Haube, also stellt die aktualisierte Methode oben Rails mit einem SafeBuffer zur Verfügung, den wir kontrolliert haben, um auf der long_message "nach Bedarf" zu entkommen anstatt "immer".

Jetzt geht der Kredit für diese Antwort vollständig zu Henning Koch, und wird viel ausführlicher bei Everything you know about html_safe is wrong erklärt - meine Zusammenfassung versucht oben nur das Wesen der Erklärung im Falle, dass diese Verbindung jemals stirbt.