转义 HTML 输出但不换行

Question

我的模型中有一个描述文本字段。 否，我想在展示页面上添加此描述。 但由于没有换行符，文本显得很难看。

如果我用
替换它们，那么导轨就会逃脱它们。 所以我尝试使用 raw() 方法。 我想转义错误的 HTML，但输出中有换行符。

我最终得到了一些丑陋的代码。

raw(h(@place.description.gsub("\n","#linebreak#")).gsub("#linebreak#","<br/>"))

您有什么建议吗？

Answer 1

您应该使用 simple_format 帮助器：

<%= simple_format @place.description %>

http://api. rubyonrails.org/classes/ActionView/Helpers/TextHelper.html#method-i-simple_format

Answer 2

3 年后，但提供一个良好的工作解决方案永远不会太晚

这将转义除换行符之外的所有 HTML 字符（兼容 Linux、Windows 和 Mac）

html_escape(@place.description).gsub(/(?:\n\r?|\r\n?)/, '<br />').html_safe

Answer 3

是您要找的吗

@place.description.html_safe.gsub("\n", '<br/>')

？但转念一想，这样的html_safe用法岂不是很容易让网站受到XSS攻击吗？ （因为它假设描述是安全的）。

没有更好的解决方案

<%= (h @place.description).gsub("\n", '<br/>') %>

因此，一开始我认为

<%= (h @place.description).gsub("\n", '<br/>'.html_safe) %>

，但实际上两个版本都可以工作。然后我通过向 description 添加一些 HTML 标签进行测试，它被转义为 < 等，因此它确实可以防止 XSS 攻击。

Answer 4

这是一个有效的解决方案：

<%= sanitize(@place.description.gsub("\n", "<br />"), :tags => %w(br), :attributes => %w()) %>

更多阅读：

解析文本区域中的换行符不允许使用所有 html 标签

文档：

http:// /api.rubyonrails.org/classes/ActionView/Helpers/SanitizeHelper.html

来自 sanitize：

此清理助手将对所有标签进行 html 编码并去除所有未明确允许的属性。

它还会去除带有无效协议的 href/src 标签，例如 javascript: 特别是。它尽力对抗黑客可能使用的任何技巧，例如输入 unicode/ascii/hex 值来绕过 javascript: 过滤器。查看广泛的测试套件。

您可以使用 :tags 选项指定允许的标签，并使用 :attributes 选项指定属性。