Ruby on Rails: làm thế nào để kết xuất một chuỗi dưới dạng HTML?

Tôi có

@str = "<b>Hi</b>"

và trong quan điểm erb của tôi:

<%= @str %>

Những gì sẽ hiển thị trên trang là: <b>Hi</b>khi điều tôi thực sự muốn là Hi . Cách ruby ​​để "diễn giải" một chuỗi như đánh dấu HTML là gì?

Chỉnh sửa : trường hợp

@str = "<span class=\"classname\">hello</span>"

Nếu theo quan điểm của tôi, tôi làm

<%raw @str %>

Mã nguồn HTML là <span class=\"classname\">hello</span> nơi tôi thực sự muốn <span class="classname">hello</span>(không có dấu gạch chéo ngược thoát khỏi dấu ngoặc kép). Cách tốt nhất để "unescape" những trích dẫn kép đó là gì?

CẬP NHẬT

Vì lý do bảo mật, nên sử dụng sanitizethay vì html_safe. Liên kết

Điều đang xảy ra là, như một biện pháp bảo mật, Rails đang thoát khỏi chuỗi của bạn cho bạn bởi vì nó có thể có mã độc được nhúng trong đó. Nhưng nếu bạn nói với Rails rằng chuỗi của bạn là html_safe, chuỗi đó sẽ chuyển qua ngay.

@str = "<b>Hi</b>".html_safe
<%= @str %>

HOẶC LÀ

@str = "<b>Hi</b>"
<%= @str.html_safe %>

Sử dụng rawhoạt động tốt, nhưng tất cả những gì nó làm là chuyển đổi chuỗi thành chuỗi, sau đó gọi html_safe. Khi tôi biết tôi có một chuỗi, tôi thích gọi trực tiếp html_safe, vì nó bỏ qua một bước không cần thiết và làm cho nó rõ ràng hơn những gì đang diễn ra. Chi tiết về thoát chuỗi và bảo vệ XSS có trong Asciicast này .

Sử dụng thô :

<%=raw @str >

Nhưng như @ jmort253 nói chính xác, hãy xem xét nơi HTML thực sự thuộc về.

Nếu bạn đang railssử dụng Erubis - cách tuyệt vời nhất để làm điều đó là

<%== @str >

Lưu ý dấu bằng đôi. Xem câu hỏi liên quan trên SO để biết thêm.

Bạn cũng có thể sử dụng simple_format(@str)để loại bỏ mã độc hại. Đọc thêm tại đây: http://api.rubyonrails.org/groupes/ActionView/Helpers/TextHelper.html#method-i-simple_format

Bạn đang trộn logic kinh doanh của bạn với nội dung của bạn. Thay vào đó, tôi khuyên bạn nên gửi dữ liệu đến trang của mình và sau đó sử dụng một cái gì đó như JQuery để đặt dữ liệu mà bạn cần đến.

Điều này có lợi thế là giữ tất cả HTML của bạn trong các trang HTML nơi nó thuộc về để các nhà thiết kế web của bạn có thể sửa đổi HTML sau này mà không phải đổ mã bên máy chủ.

Hoặc nếu bạn không muốn sử dụng JavaScript, bạn có thể thử điều này:

@str = "Hi"

<b><%= @str ></b>

Ít nhất theo cách này, HTML của bạn nằm trong trang HTML nơi nó thuộc về.

Hoặc bạn có thể thử phương pháp CGI.unescapeHTML .

CGI.unescapeHTML "<p>This is a Paragraph.</p>"
=> "<p>This is a Paragraph.</p>"

vì bạn đang dịch và chọn mã mong muốn từ tệp được mã hóa nhảm nhí của một người, bạn có thể sử dụng content_tag, kết hợp với biểu thức chính quy của bạn không.

Ăn cắp từ các tài liệu api, bạn có thể nội suy mã dịch này thành một content_tagdạng như sau:

<%= content_tag translated_tag_type.to_sym, :class => "#{translated_class}" do -%>
<%= translated_text %>
<% end -%>
# => <div class="strong">Hello world!</div>

Không biết mã của bạn, kiểu suy nghĩ này sẽ đảm bảo mã dịch của bạn quá tuân thủ.

@str = "<span class=\"classname\">hello</span>" Nếu theo quan điểm của tôi, tôi làm

<%raw @str %> Mã nguồn HTML là <span class=\"classname\">hello</span>nơi tôi thực sự muốn <span class="classname">hello</span>(không có dấu gạch chéo ngược đang thoát khỏi dấu ngoặc kép>). Cách tốt nhất để "unescape" những trích dẫn kép đó là gì?

Giải pháp: sử dụng dấu ngoặc kép bên trong dấu ngoặc đơn (hoặc dấu ngoặc đơn bên trong dấu ngoặc kép) để tránh thoát bằng dấu gạch chéo ngược.

@str = '<span class="classname">hello</span>'
<%raw @str %>

Phiên bản html_safe hoạt động tốt trong Rails 4 ...

<%= "<center style=\"color: green; font-size: 1.1em\" > Administrators only </center>".html_safe if current_user.admin? %
>