prima vs vs html_safe h a html unescape

Question

Supongamos que tengo la siguiente cadena

@x = "<a href='#'>Turn me into a link</a>" 

En mi opinión, quiero un enlace que se muestra. Es decir, no quiero que todo en @x se desactive y se muestre como una cadena. ¿Cuál es la diferencia entre usar

<%= raw @x %> 
<%= h @x %> 
<%= @x.html_safe %> 

?

Answer 1

rieles Considerando 3:

html_safe realidad "establece la cadena", como HTML seguro (que es un poco más complicado que eso, pero es básicamente). De esta forma, puede devolver cadenas HTML seguras desde ayudantes o modelos a voluntad.

h solo se puede utilizar desde un controlador o vista, ya que es de un ayudante. Forzará que la salida se escape. No está en desuso, pero lo más probable es que ya no lo uses: el único uso es "revertir" una declaración html_safe, bastante inusual.

agregar el prefijo a su expresión con raw es en realidad equivalente a llamar to_s encadenado con html_safe en él, pero se declara en un ayudante, al igual que h, por lo que sólo se puede utilizar en controladores y vistas.

"SafeBuffers and Rails 3.0" es una buena explicación sobre cómo funciona el SafeBuffer s (la clase que hace la magia html_safe).

Answer 2

Creo que vale la pena repetir: html_safe hace no HTML-escape su cadena. De hecho, evitará que se escape su cadena.

<%= "<script>alert('Hello!')</script>" %> 

pondrá:

<script>alert('Hello!')</script> 

en su código fuente HTML (yay, tan seguro!), Mientras que:

<%= "<script>alert('Hello!')</script>".html_safe %> 

emergerá el diálogo de alerta (¿está seguro de que es lo ¿usted quiere?). Por lo tanto, probablemente no desee llamar al html_safe en cualquier cadena ingresada por el usuario.

Answer 3

La diferencia es entre html_safe() y raw() de Rails. Hay un excelente mensaje por Yehuda Katz en esto, y lo que realmente se reduce a esto:

def raw(stringish) 

    stringish.to_s.html_safe 

end 

Sí, raw() es una envoltura alrededor de html_safe() que fuerza la entrada de cadena y luego llama html_safe() en él. También es el caso que raw() es un ayudante en un módulo, mientras que html_safe() es un método en la clase String que crea una nueva instancia de ActiveSupport :: SafeBuffer, que tiene un indicador @dirty.

Consulte "Rails’ html_safe vs. raw".

Answer 4

En términos simples: Rieles

h etiquetas HTML en quitar caracteres numéricos de manera que la representación no se desintegrará su html

html_safe establece un valor lógico en la cadena para que la cadena se considera como HTML Guardar

raw convierte a html_safe a cadena

Answer 5

1. html_safe:

   Marca una cadena como segura de confianza. Se insertará en HTML sin realizar escapes adicionales.

   "<a>Hello</a>".html_safe 
   #=> "<a>Hello</a>" 
   
   nil.html_safe 
   #=> NoMethodError: undefined method `html_safe' for nil:NilClass 
   

2. raw:

   raw es sólo una envoltura alrededor de html_safe. Use raw si hay posibilidades de que la cadena sea nil.

   raw("<a>Hello</a>") 
   #=> "<a>Hello</a>" 
   
   raw(nil) 
   #=> "" 
   

3. h alias para html_escape:

   Un método de utilidad para escapar caracteres de etiquetas HTML. Use este método para escapar de cualquier contenido inseguro.

   En los carriles 3 y por encima de ella se utiliza por defecto, así que no es necesario utilizar este método de forma explícita

Answer 6

La mejor manera segura es: <%= sanitize @x %>

Se evitará XSS!