Ruby on Rails: HTML olarak bir dize nasıl oluşturulur?

Sahibim

@str = "<b>Hi</b>"

ve benim erb görüşüme göre:

<%= @str %>

Sayfada görüntülenecek olan şey: <b>Hi</b>Gerçekten istediğim şey Merhaba . Bir dizeyi HTML biçimlendirmesi olarak "yorumlamanın" yakut yolu nedir?

Düzenleme : burada

@str = "<span class=\"classname\">hello</span>"

Benim görüşüme göre yaparsam

<%raw @str %>

HTML kaynak kodu <span class=\"classname\">hello</span> gerçekten istediğim yer <span class="classname">hello</span>(çift tırnaklardan kaçan ters eğik çizgiler olmadan). Bu çift tırnak işaretlerini "görünümden çıkarmanın" en iyi yolu nedir?

GÜNCELLEME

Güvenlik nedeniyle, sanitizeyerine kullanılması önerilir html_safe. bağlantı

Bir güvenlik önlemi olarak, Rails sizin için dizeden kaçıyor, çünkü içine kötü amaçlı kod gömülmüş olabilir. Ancak Rails'e dizenizin olduğunu söylerseniz html_safe, doğrudan geçecektir.

@str = "<b>Hi</b>".html_safe
<%= @str %>

VEYA

@str = "<b>Hi</b>"
<%= @str.html_safe %>

Kullanılması raweserler cezası, ancak yapıyor bütün html_safe çağırarak sonra bir dizeye dize dönüştürme ve kapanır. Ben bir dize var biliyorum, ben gereksiz bir adım atlar ve ne olup bittiğini daha net yapar, çünkü doğrudan html_safe çağırmayı tercih. Dizeden kaçış ve XSS koruması hakkında ayrıntılar bu Asciicast'ta bulunmaktadır .

Çiğ kullanın :

<%=raw @str >

Ancak @ jmort253'ün doğru söylediği gibi, HTML'nin gerçekten nereye ait olduğunu düşünün.

Eğer konum üzerinde railshangi kullanır Erubis - öyle yapmak havalı yolu

<%== @str >

Çift eşit işareti not alın. Daha fazla bilgi için SO ile ilgili soruya bakınız .

Ayrıca simple_format(@str)kötü amaçlı kodu kaldıran da kullanabilirsiniz . Daha fazla bilgiyi buradan edinebilirsiniz: http://api.rubyonrails.org/classes/ActionView/Helpers/TextHelper.html#method-i-simple_format

İş mantığınızı içeriğinizle karıştırıyorsunuz. Bunun yerine, verileri sayfanıza göndermenizi ve ardından verileri gitmeniz gereken yere yerleştirmek için JQuery gibi bir şey kullanmanızı öneririm.

Bu, web tasarımcılarınızın HTML'yi daha sonra sunucu tarafı kodunu dökmek zorunda kalmadan değiştirebilmeleri için tüm HTML'nizi ait olduğu HTML sayfalarında tutma avantajına sahiptir.

Veya JavaScript kullanmak istemiyorsanız bunu deneyebilirsiniz:

@str = "Hi"

<b><%= @str ></b>

En azından bu şekilde HTML'niz ait olduğu HTML sayfasındadır.

Veya CGI.unescapeHTML yöntemini deneyebilirsiniz .

CGI.unescapeHTML "<p>This is a Paragraph.</p>"
=> "<p>This is a Paragraph.</p>"

çeviri yaptığınız ve istediğiniz kodu bir kişinin crappy kodlu dosyasından aldığınız için, regex'lerinizle birleşik olarak content_tag kullanabilirsiniz.

Api dokümanlarından çalmakla, bu çevrilmiş kodu content_tagbenzer şekilde enterpole edebilirsiniz :

<%= content_tag translated_tag_type.to_sym, :class => "#{translated_class}" do -%>
<%= translated_text %>
<% end -%>
# => <div class="strong">Hello world!</div>

Kodunuzu bilmiyorsanız, bu tür bir düşünme çevrilmiş kodunuzun çok uyumlu olmasını sağlayacaktır.

@str = "<span class=\"classname\">hello</span>" Benim görüşüme göre yaparsam

<%raw @str %> HTML kaynak kodu <span class=\"classname\">hello</span>gerçekten istediğim yer <span class="classname">hello</span>(çift> tırnak işaretleri kaçan ters eğik çizgiler olmadan). Bu çift tırnak işaretlerini "görünümden çıkarmanın" en iyi yolu nedir?

Çözüm: Ters eğik çizgi ile kaçmayı önlemek için tek tırnak içinde (veya çiftin tek içinde) çift tırnak kullanın.

@str = '<span class="classname">hello</span>'
<%raw @str %>

Html_safe sürümü Rails 4'te iyi çalışıyor ...

<%= "<center style=\"color: green; font-size: 1.1em\" > Administrators only </center>".html_safe if current_user.admin? %
>