¿Qué significa <%=h ... %> en Rails?

Question

encontré here la siguiente sintaxis:

<%=h @person.first_name %> 

lo que hace el h medios?

Answer 1

Es para escapar de la salida de la etiqueta para evitar secuencias de comandos entre sitios. En los rieles 3, se ha cambiado al valor predeterminado para una cadena (por lo que en lugar de decir escapar de esta cadena, dices, esta es una cadena segura).

http://api.rubyonrails.org/classes/ERB/Util.html#method-c-h

Answer 2

h es alias para el método html_escape en Rails.

Si no escapa el texto usando h, entonces alguien puede escribir javascript allí y se ejecutará cuando se renderice la página.

Así que si no está seguro de que los datos que está mostrando son absolutamente seguros, ejecútelos a través de un filtro que escapa de los caracteres de las etiquetas HTML.