raw vs. html_safe vs. h, um html zu entkommen

Angenommen, ich habe die folgende Zeichenfolge

@x = "<a href='#'>Turn me into a link</a>"

Meiner Ansicht nach soll ein Link angezeigt werden. Das heißt, ich möchte nicht, dass alles in @x entkoppelt und als Zeichenfolge angezeigt wird. Was ist der Unterschied zwischen der Verwendung

<%= raw @x %>
<%= h @x %>
<%= @x.html_safe %>

?

Betrachtung der Schienen 3:

html_safe"setzt den String" als HTML-sicher (es ist etwas komplizierter, aber im Grunde ist es das). Auf diese Weise können Sie nach Belieben HTML-sichere Zeichenfolgen von Helfern oder Modellen zurückgeben.

hkann nur innerhalb eines Controllers oder einer Ansicht verwendet werden, da es von einem Helfer stammt. Dadurch wird erzwungen, dass die Ausgabe maskiert wird. Es ist nicht wirklich veraltet, aber Sie werden es höchstwahrscheinlich nicht mehr verwenden: Die einzige Verwendung besteht darin, eine html_safeDeklaration "zurückzusetzen" , was ziemlich ungewöhnlich ist.

Das Voranstellen Ihres Ausdrucks mit rawist eigentlich gleichbedeutend mit dem Aufruf von to_sverkettet mit html_safe, wird jedoch wie bei einem Helfer deklariert h, sodass er nur für Controller und Ansichten verwendet werden kann.

" SafeBuffers and Rails 3.0 " ist eine nette Erklärung, wie das SafeBuffers (die Klasse, die die html_safeMagie macht) funktioniert.

Ich denke , es trägt zu wiederholen: html_safenicht nicht HTML-entkommen Zeichenfolge. Tatsächlich wird verhindert, dass Ihre Zeichenfolge maskiert wird.

<%= "<script>alert('Hello!')</script>" %>

wird setzen:

<script>alert('Hello!')</script>

in Ihre HTML-Quelle (yay, so sicher!), während:

<%= "<script>alert('Hello!')</script>".html_safe %>

öffnet den Alarmdialog (sind Sie sicher, dass Sie das möchten?). Sie möchten also wahrscheinlich html_safekeine vom Benutzer eingegebenen Zeichenfolgen aufrufen .

Der Unterschied liegt zwischen Rails html_safe()und raw(). Es gibt einen ausgezeichneten Beitrag von Yehuda Katz dazu, und es läuft wirklich darauf hinaus:

def raw(stringish)

  stringish.to_s.html_safe

end

Ja, es raw()handelt sich um einen Wrapper html_safe(), der die Eingabe in String erzwingt und dann aufruft html_safe(). Es ist auch der Fall, dass raw()es sich um einen Helfer in einem Modul handelt, während html_safe()es sich um eine Methode für die String-Klasse handelt, mit der eine neue ActiveSupport :: SafeBuffer-Instanz erstellt wird@dirty Flag enthält.

Siehe " Rails 'html_safe vs. raw ".

1. html_safe ::

   Markiert eine Zeichenfolge als vertrauenswürdig. Es wird in HTML eingefügt, ohne dass ein zusätzliches Escapezeichen ausgeführt wird.

   "<a>Hello</a>".html_safe
   #=> "<a>Hello</a>"
   
   nil.html_safe
   #=> NoMethodError: undefined method `html_safe' for nil:NilClass

2. raw ::

   rawist nur eine Hülle herum html_safe. Verwenden Sie rawdiese Option, wenn die Wahrscheinlichkeit besteht, dass die Zeichenfolge angezeigt wird nil.

   raw("<a>Hello</a>")
   #=> "<a>Hello</a>"
   
   raw(nil)
   #=> ""

3. h Alias ​​für html_escape :

   Eine Dienstprogrammmethode zum Escapezeichen von HTML-Tag-Zeichen. Verwenden Sie diese Methode, um unsichere Inhalte zu umgehen.

   In Rails 3 und höher wird es standardmäßig verwendet, sodass Sie diese Methode nicht explizit verwenden müssen

Der beste sichere Weg ist: <%= sanitize @x %>

Es wird XSS vermeiden!

In Simple Rails-Begriffen:

h Entfernen Sie HTML-Tags in Zahlenzeichen, damit das Rendern Ihr HTML nicht beschädigt

html_safe Setzt einen Booleschen Wert in der Zeichenfolge, sodass die Zeichenfolge als HTML-Speicher betrachtet wird

raw Es konvertiert in html_safe in string