Ruby on Rails: comment rendre une chaîne au format HTML?

j'ai

@str = "<b>Hi</b>"

et à mon avis erb:

<%= @str %>

Ce qui s'affichera sur la page est: <b>Hi</b>quand ce que je veux vraiment, c'est Salut . Quelle est la manière ruby ​​"d'interpréter" une chaîne comme du balisage HTML?

Edit : le cas où

@str = "<span class=\"classname\">hello</span>"

Si à mon avis je fais

<%raw @str %>

Le code source HTML est <span class=\"classname\">hello</span> là où ce que je veux vraiment <span class="classname">hello</span>(sans les contre-obliques qui échappaient aux guillemets). Quelle est la meilleure façon de "unescape" ces doubles guillemets?

METTRE À JOUR

Pour des raisons de sécurité, il est recommandé d'utiliser à la sanitizeplace de html_safe. Lien

Ce qui se passe, c'est que, par mesure de sécurité, Rails échappe votre chaîne pour vous car il peut contenir du code malveillant. Mais si vous dites à Rails que votre chaîne est html_safe, elle la passera à travers.

@str = "<b>Hi</b>".html_safe
<%= @str %>

OU

@str = "<b>Hi</b>"
<%= @str.html_safe %>

L'utilisation rawfonctionne bien, mais tout ce qu'il fait est de convertir la chaîne en chaîne, puis d'appeler html_safe. Quand je sais que j'ai une chaîne, je préfère appeler directement html_safe, car cela saute une étape inutile et clarifie ce qui se passe. Les détails sur l'échappement de chaîne et la protection XSS se trouvent dans cet Asciicast .

Utiliser brut :

<%=raw @str >

Mais comme @ jmort253 le dit correctement, considérez à quoi appartient vraiment le HTML.

Si vous êtes railsqui utilise erubis - le plus cool façon de le faire est

<%== @str >

Notez le double signe égal. Voir la question relative à SO pour plus d'informations.

Vous pouvez également utiliser simple_format(@str)qui supprime le code malveillant. En savoir plus ici: http://api.rubyonrails.org/classes/ActionView/Helpers/TextHelper.html#method-i-simple_format

Vous mélangez votre logique métier avec votre contenu. Au lieu de cela, je vous recommande d'envoyer les données sur votre page, puis d'utiliser quelque chose comme JQuery pour placer les données là où vous en avez besoin.

Cela a l'avantage de conserver tout votre HTML dans les pages HTML auxquelles il appartient afin que vos concepteurs Web puissent modifier le HTML ultérieurement sans avoir à passer par le code côté serveur.

Ou si vous ne souhaitez pas utiliser JavaScript, vous pouvez essayer ceci:

@str = "Hi"

<b><%= @str ></b>

Au moins de cette façon, votre HTML se trouve dans la page HTML à laquelle il appartient.

Ou vous pouvez essayer la méthode CGI.unescapeHTML .

CGI.unescapeHTML "<p>This is a Paragraph.</p>"
=> "<p>This is a Paragraph.</p>"

puisque vous traduisez et choisissez votre code recherché dans le fichier codé de merde d'une personne, pourriez-vous utiliser content_tag, en combinaison avec votre regex.

En volant les documents de l'API, vous pouvez interpoler ce code traduit en un content_tagformat similaire:

<%= content_tag translated_tag_type.to_sym, :class => "#{translated_class}" do -%>
<%= translated_text %>
<% end -%>
# => <div class="strong">Hello world!</div>

Ne connaissant pas votre code, ce genre de réflexion garantira que votre code traduit est trop conforme.

@str = "<span class=\"classname\">hello</span>" Si à mon avis je fais

<%raw @str %> Le code source HTML est <span class=\"classname\">hello</span>ce que je veux vraiment <span class="classname">hello</span>(sans les contre-obliques qui échappaient aux guillemets doubles). Quelle est la meilleure façon de "unescape" ces doubles guillemets?

Solution: utilisez des guillemets doubles à l'intérieur de guillemets simples (ou simples à l'intérieur de doubles) pour éviter de s'échapper avec une barre oblique inverse.

@str = '<span class="classname">hello</span>'
<%raw @str %>

La version html_safe fonctionne bien dans Rails 4 ...

<%= "<center style=\"color: green; font-size: 1.1em\" > Administrators only </center>".html_safe if current_user.admin? %
>