raw対html_safe対h対htmlのエスケープ解除

次の文字列があるとします

@x = "<a href='#'>Turn me into a link</a>"

私の見解では、リンクを表示したいのですが。つまり、@ xのすべてをエスケープせずに文字列として表示したくありません。使用の違いは何ですか

<%= raw @x %>
<%= h @x %>
<%= @x.html_safe %>

？

Rails 3：

html_safe実際には、HTMLセーフとして「文字列を設定」します（それよりも少し複雑ですが、基本的にはそれです）。このようにして、ヘルパーやモデルからHTML Safe文字列を自由に返すことができます。

hヘルパーからのものであるため、コントローラーまたはビュー内からのみ使用できます。出力を強制的にエスケープします。これは実際には非推奨ではありませんが、おそらくもう使用しないでしょう。唯一の使用法は、html_safe宣言を「元に戻す」ことです。

式を前に付加することrawは、実際にはその上でto_sチェーンされた呼び出しと同等html_safeですが、と同様hにヘルパーで宣言されるため、コントローラーとビューでのみ使用できます。

「SafeBuffers and Rails 3.0」は、SafeBuffers（html_safeマジックを実行するクラス）がどのように機能するかを説明しています。

繰り返しhtml_safeが必要だと思います：文字列をHTMLエスケープしません。実際、文字列がエスケープされるのを防ぎます。

<%= "<script>alert('Hello!')</script>" %>

置くでしょう：

<script>alert('Hello!')</script>

あなたのHTMLソースに（そう、とても安全です！）、同時に：

<%= "<script>alert('Hello!')</script>".html_safe %>

警告ダイアログがポップアップ表示されます（それでよろしいですか？）。したがって、おそらくhtml_safeユーザーが入力した文字列を呼び出したくないでしょう。

違いはRails html_safe()とraw()です。これに関するイェフダ・カッツの優れた投稿があり、それは本当にこれに要約されます：

def raw(stringish)

  stringish.to_s.html_safe

end

はい、文字列への入力を強制し、それを呼び出すraw()ラッパーです。また、モジュールのヘルパーであるのに対して、新しいActiveSupport :: SafeBufferインスタンスを作成するStringクラスのメソッド— フラグが含まれています。html_safe()html_safe()raw()html_safe()@dirty

「Railsのhtml_safe vs. raw」を参照してください。

1. html_safe ：

   文字列を信頼できる安全なものとしてマークします。HTMLに挿入され、追加のエスケープは実行されません。

   "<a>Hello</a>".html_safe
   #=> "<a>Hello</a>"
   
   nil.html_safe
   #=> NoMethodError: undefined method `html_safe' for nil:NilClass
   

2. raw ：

   rawは単なるラッパーhtml_safeです。raw文字列がなる可能性がある場合に使用しますnil。

   raw("<a>Hello</a>")
   #=> "<a>Hello</a>"
   
   raw(nil)
   #=> ""
   

3. hのエイリアスhtml_escape：

   HTMLタグ文字をエスケープするためのユーティリティメソッド。このメソッドを使用して、安全でないコンテンツをエスケープします。

   Rails 3以降ではデフォルトで使用されるため、このメソッドを明示的に使用する必要はありません

最も安全な方法は次のとおりです。 <%= sanitize @x %>

XSSを回避します！

Simple Railsの用語では：

h htmlタグを数字の文字に削除して、レンダリングによってHTMLが壊れないようにする

html_safe 文字列にブール値を設定して、文字列がHTML保存と見なされるようにします

raw html_safeを文字列に変換します