Ruby on Rails: jak wyrenderować string jako HTML?

mam

@str = "<b>Hi</b>"

i moim zdaniem:

<%= @str %>

Na stronie zostanie wyświetlone: <b>Hi</b>kiedy naprawdę chcę, to Cześć . W jaki sposób ruby ​​„interpretuje” ciąg znaków jako znaczniki HTML?

Edycja : przypadek, w którym

@str = "<span class=\"classname\">hello</span>"

Jeśli moim zdaniem tak

<%raw @str %>

Kod źródłowy HTML jest <span class=\"classname\">hello</span> tam, gdzie naprawdę chcę <span class="classname">hello</span>(bez ukośników odwrotnych przed podwójnymi cudzysłowami). Jaki jest najlepszy sposób na „odskoczenie” tych podwójnych cudzysłowów?

AKTUALIZACJA

Ze względów bezpieczeństwa zaleca się używanie sanitizezamiast html_safe. Połączyć

Dzieje się tak, że ze względów bezpieczeństwa Railsy uciekają przed twoim ciągiem znaków, ponieważ może on zawierać osadzony w nim złośliwy kod. Ale jeśli powiesz Railsom, że twój łańcuch jest html_safe, to przepuści go od razu.

@str = "<b>Hi</b>".html_safe
<%= @str %>

LUB

@str = "<b>Hi</b>"
<%= @str.html_safe %>

Używanie rawdziała dobrze, ale wszystko, co robi, to konwertowanie ciągu na ciąg, a następnie wywołanie html_safe. Kiedy wiem, że mam ciąg, wolę wywoływać bezpośrednio html_safe, ponieważ pomija niepotrzebny krok i wyjaśnia, co się dzieje. Szczegóły dotyczące ucieczki ciągów i ochrony XSS znajdują się w tym Asciicast .

Użyj surowego :

<%=raw @str >

Ale jak słusznie mówi @ jmort253, zastanów się, gdzie naprawdę należy HTML.

Jeśli railskorzystasz z Erubisa - najfajniejszy sposób to zrobić

<%== @str >

Zwróć uwagę na podwójny znak równości. Aby uzyskać więcej informacji, zobacz powiązane pytanie na SO.

Możesz także użyć, simple_format(@str)który usuwa złośliwy kod. Przeczytaj więcej tutaj: http://api.rubyonrails.org/classes/ActionView/Helpers/TextHelper.html#method-i-simple_format

Mieszasz logikę biznesową z zawartością. Zamiast tego zalecałbym wysłanie danych na twoją stronę, a następnie użycie czegoś takiego jak JQuery, aby umieścić dane tam, gdzie są potrzebne.

Ma to tę zaletę, że cały kod HTML pozostaje na stronach HTML, do których należy, dzięki czemu projektanci stron internetowych mogą później modyfikować kod HTML bez konieczności przepuszczania kodu po stronie serwera.

A jeśli nie chcesz używać JavaScript, możesz spróbować tego:

@str = "Hi"

<b><%= @str ></b>

Przynajmniej w ten sposób twój HTML będzie na stronie HTML, do której należy.

Lub możesz wypróbować metodę CGI.unescapeHTML .

CGI.unescapeHTML "<p>This is a Paragraph.</p>"
=> "<p>This is a Paragraph.</p>"

ponieważ tłumaczysz i wybierasz pożądany kod z kiepskiego zakodowanego pliku danej osoby, czy mógłbyś użyć content_tag w połączeniu ze swoim wyrażeniem regularnym.

Kradnąc z dokumentów API, można interpolować ten przetłumaczony kod na content_tagpodobny do:

<%= content_tag translated_tag_type.to_sym, :class => "#{translated_class}" do -%>
<%= translated_text %>
<% end -%>
# => <div class="strong">Hello world!</div>

Nie znając swojego kodu, tego rodzaju myślenie sprawi, że przetłumaczony kod będzie zbyt zgodny.

@str = "<span class=\"classname\">hello</span>" Jeśli moim zdaniem tak

<%raw @str %> Kod źródłowy HTML jest <span class=\"classname\">hello</span>tym, czego naprawdę chcę <span class="classname">hello</span>(bez ukośników odwrotnych, które były przed podwójnymi cudzysłowami>). Jaki jest najlepszy sposób na „odskoczenie” tych podwójnych cudzysłowów?

Rozwiązanie: użyj podwójnych cudzysłowów wewnątrz pojedynczych cudzysłowów (lub pojedynczego wewnątrz podwójnego cudzysłowu), aby uniknąć znaków ucieczki z ukośnikiem odwrotnym.

@str = '<span class="classname">hello</span>'
<%raw @str %>

Wersja html_safe działa dobrze w Railsach 4 ...

<%= "<center style=\"color: green; font-size: 1.1em\" > Administrators only </center>".html_safe if current_user.admin? %
>