Ruby on Rails: як надати рядок як HTML?

У мене є

@str = "<b>Hi</b>"

і на мій погляд erb:

<%= @str %>

Що буде відображатися на сторінці: це <b>Hi</b>те, що я дуже хочу привітати . Який рубіновий спосіб "інтерпретувати" рядок як розмітку HTML?

Редагувати : випадок, де

@str = "<span class=\"classname\">hello</span>"

Якщо, на мій погляд, я це роблю

<%raw @str %>

Вихідний код HTML - це <span class=\"classname\">hello</spanте, де я дійсно хочу <span class="classname">hello</span>(без зворотних косих косих, що уникають подвійних лапок). Який найкращий спосіб "зняти" подвійні лапки?

ОНОВЛЕННЯ

З міркувань безпеки рекомендується використовувати sanitizeзамість цього html_safe. Посилання

Те, що відбувається, полягає в тому, що, як міра безпеки, Rails уникає своєї строки для вас, оскільки в неї може бути вбудований зловмисний код. Але якщо ви скажете Rails, що ваша строка html_safe, вона передасть її прямо.

@str = "<b>Hi</b>".html_safe
<%= @str %>

АБО

@str = "<b>Hi</b>"
<%= @str.html_safe %>

Використання rawпрацює добре, але все, що він робить, це перетворення рядка в рядок, а потім виклик html_safe. Коли я знаю, що у мене є рядок, я вважаю за краще зателефонувати html_safe безпосередньо, оскільки це пропускає непотрібний крок і робить зрозумілішим, що відбувається. Докладніше про захист від захисного струму та захист XSS міститься в цій програмі Asciicast .

Вживати сировину :

<%=raw @str >

Але як правильно говорить @ jmort253, подумайте, куди насправді належить HTML.

Якщо ви railsвикористовуєте ерубіс - найкрутіший спосіб це зробити

<%== @str >

Зверніть увагу на подвійний знак рівності. Додаткову інформацію див. У відповідному запитанні на SO.

Ви також можете використовувати, simple_format(@str)що видаляє шкідливий код. Детальніше читайте тут: http://api.rubyonrails.org/classes/ActionView/Helpers/TextHelper.html#method-i-simple_format

Ви змішуєте свою бізнес-логіку зі своїм вмістом. Натомість я рекомендую надсилати дані на вашу сторінку, а потім використовувати щось на зразок JQuery, щоб розмістити дані там, де вам потрібно.

Це має перевагу зберігати весь ваш HTML на сторінках HTML, де він належить, щоб ваші веб-дизайнери могли змінити HTML пізніше без необхідності вводити код на стороні сервера.

Або якщо ви не хочете використовувати JavaScript, ви можете спробувати це:

@str = "Hi"

<b><%= @str ></b>

Принаймні таким чином ваш HTML знаходиться на сторінці HTML, де він належить.

Або ви можете спробувати метод CGI.unescapeHTML .

CGI.unescapeHTML "<p>This is a Paragraph.</p>"
=> "<p>This is a Paragraph.</p>"

оскільки ви перекладаєте і вибираєте потрібний код з невдалого закодованого файлу людини, чи можете ви використовувати content_tag у поєднанні зі своїми регексом.

Викрадаючи документи з api, ви можете інтерполювати цей перекладений код на content_tagзразок:

<%= content_tag translated_tag_type.to_sym, :class => "#{translated_class}" do -%>
<%= translated_text %>
<% end -%>
# => <div class="strong">Hello world!</div>

Не знаючи свого коду, такий спосіб мислення переконається, що ваш перекладений код занадто сумісний.

@str = "<span class=\"classname\">hello</span>" Якщо, на мій погляд, я це роблю

<%raw @str %> Вихідний код HTML - це <span class=\"classname\">hello</span>те, чого я дійсно хочу <span class="classname">hello</span>(без зворотних косих ринків, які не випливали з подвійних> лапок). Який найкращий спосіб "зняти" подвійні лапки?

Рішення: використовуйте подвійні лапки всередині одинарних лапок (або одинарних всередині подвійних), щоб уникнути відхилення від косої риски.

@str = '<span class="classname">hello</span>'
<%raw @str %>

Версія html_safe добре працює в Rails 4 ...

<%= "<center style=\"color: green; font-size: 1.1em\" > Administrators only </center>".html_safe if current_user.admin? %
>