Ruby on Rails: Wie rende ich einen String als HTML?

Habe ich

@str = "<b>Hi</b>"

und in meinem erb anzeigen:

<%= @str %>

Was wird auf der Seite angezeigt wird: <b>Hi</b> wenn das, was ich wirklich will, ist Hallo. Was ist der ruby-Art zu "interpretieren" einen string als HTML-markup?

Bearbeiten: der Fall, wo

@str = "<span class=\"classname\">hello</span>"

Wenn in meiner Ansicht, die ich tun

<%raw @str %>

HTML-Quellcode ist <span class=\"classname\">hello</span> wo das, was ich wirklich will, ist <span class="classname">hello</span> (ohne die Schrägstriche, die entkommen waren die Anführungszeichen) ein. Was ist der beste Weg, um "unescape" double quotes?

InformationsquelleAutor der Frage Tim | 2011-01-02

  1. 300

    UPDATE

    Für die Sicherheit Grund, es wird empfohlen, desinfizieren statt html_safe. Link

    Was passiert, ist, dass, als eine Sicherheitsmaßnahme, Schienen entkommen ist dein string, für Sie, weil es möglicherweise bösartigen code in Sie eingebettet sind. Aber wenn Sie sagen Schienen, dass Ihr string ist html_safewerde es es passieren rechts durch.

    @str = "<b>Hi</b>".html_safe
<%= @str %>

    ODER

    @str = "<b>Hi</b>"
<%= @str.html_safe %>

    Mit raw funktioniert gut, ist aber alle es tut, ist die Umwandlung der Zeichenfolge in eine Zeichenfolge, und dann ruft html_safe. Wenn ich weiß, ich habe einen string, ziehe ich den Aufruf html_safe direkt, denn es springt einen unnötigen Schritt und macht es klarer, was Los ist. Details zu string-escaping-und XSS-Schutz sind in diese Asciicast.

    InformationsquelleAutor der Antwort Jacob

  2. 16

    Verwenden raw:

    <%=raw @str >

    Aber wie @jmort253 richtig sagt, überlegen, wo die HTML wirklich gehört.

    InformationsquelleAutor der Antwort Michael Stum

  3. 12

    Wenn Sie auf rails was nutzt Erubis — der coolste Weg, es zu tun ist

    <%== @str >

    Beachten Sie das doppelte Gleichheitszeichen. Sehen Frage im Zusammenhang mit auf SO für mehr info.

    InformationsquelleAutor der Antwort jibiel

  4. 8

    Können Sie auch simple_format(@str) entfernt bösartigen code. Lesen Sie hier mehr: http://api.rubyonrails.org/classes/ActionView/Helpers/TextHelper.html#method-i-simple_format

    InformationsquelleAutor der Antwort bcackerman

  5. 7

    Mischen Sie Ihre business-Logik mit Ihren Inhalten. Stattdessen würde ich empfehlen, das senden der Daten zu Ihrer Seite und dann mit so etwas wie JQuery, um die Daten, wo Sie es brauchen zu gehen.

    Dies hat den Vorteil, dass alle Ihre HTML-Code in die HTML-Seiten, wo es hingehört, so dass Ihre web-Designer können Sie ändern die HTML-später ohne zu Gießen durch server-side-code.

    Oder wenn Sie nicht wollen, um die JavaScript verwenden, Sie könnten versuchen, diese:

    @str = "Hi"

<b><%= @str ></b>

    Zumindest auf diese Weise Ihre HTML wird in die HTML-Seite ist, wo es hingehört.

    InformationsquelleAutor der Antwort jmort253

  6. 5

    Oder Sie können versuchen, CGI.unescapeHTML Methode.

    CGI.unescapeHTML "&lt;p&gt;This is a Paragraph.&lt;/p&gt;"
=> "<p>This is a Paragraph.</p>"

    InformationsquelleAutor der Antwort Arman Ortega

  7. 0

    da Sie übersetzen, und Kommissionierung Ihr wollte, dass code von einer person beschissen codierten Datei, könnte Sie verwenden content_tag, in combo mit deinem regex.

    Stehlen aus den api-docs, könnte man interpolieren diese übersetzt den code in eine content_tag wie:

    <%= content_tag translated_tag_type.to_sym, :class => "#{translated_class}" do -%>
<%= translated_text %>
<% end -%>
# => <div class="strong">Hello world!</div>

    Nicht zu wissen, Ihren code, diese Art des Denkens wird, stellen Sie sicher, dass Ihre übersetzten code ist auch konform.

    InformationsquelleAutor der Antwort pjammer

  8. 0

    @str = "<span class=\"classname\">hello</span>"
    Wenn in meiner Ansicht, die ich tun

    <%raw @str %>
    Der HTML-Quellcode ist <span class=\"classname\">hello</span> wo das, was ich wirklich will, ist <span class="classname">hello</span> (ohne die Schrägstriche, die entkommen waren die Doppel - >Zitate). Was ist der beste Weg, um "unescape" double quotes?

    Lösung: verwenden Sie doppelte Anführungszeichen innerhalb von einfachen Anführungszeichen (single oder innerhalb von doppelten) zu vermeiden, entkommen mit einem backslash.

    @str = '<span class="classname">hello</span>'
<%raw @str %>

    InformationsquelleAutor der Antwort Crash

  9. 0

    Den html_safe version funktioniert gut in den Schienen 4...

    <%= "<center style=\"color: green; font-size: 1.1em\" > Administrators only </center>".html_safe if current_user.admin? %
>

    InformationsquelleAutor der Antwort G. A.

Schreibe einen Kommentar