为什么 Rails 2 中的 HTML 编码撇号会产生意外结果？

Question

我正在使用 h 对 Rails 2 中的一些文本进行 HTML 编码，但我遇到了撇号问题。更准确地说，我发现我的撇号最终变成了 ' ，这显然不是我想要显示的。

任何人都知道为什么会发生这种情况？我的研究表明 HTML 编码不应该影响撇号。

Answer 1

这是一个有趣的问题。我发现 h AKA html_escape 处理撇号 AKA "'" 的方式不一致。

根据 ERB::Util 2.6.6 的 RDoc：

ESCAPE_TABLE = { '&'=>'&', '<'=>'<', '>'=>'>', '"'=>'"', "'"=>''', }

gem list erubis
*** LOCAL GEMS ***
erubis (2.6.6)

在 IRB 中我看到：

Welcome to IRB. You are using ruby 1.9.2p136 (2010-12-25 revision 30365) [x86_64-darwin10.5.0]. Have fun ;)
>> require 'erb' #=> true
>> ERB::Util.html_escape("foo'bar") #=> "foo'bar"
>> ERB::Util.html_escape('foo"bar') #=> "foo"bar"

---

编辑：

嘿，这是 h 方法中的一个错误，或者至少是一个不一致。来源如下：

# File 'lib/erubis/helpers/rails_helper.rb', line 342

def h(value)
  value.to_s.gsub(/[&<>"]/) {|s| ESCAPE_TABLE[s] }
end

注意到传递给 gsub 的字符串不包含 "'" 吗？这意味着不会针对单引号/撇号调用 ESCAPE_TABLE 的查找。

而且，我们都知道饼干的关键是撇号。 :-)

我希望如果我查看您的 Rails 版本中 h 或 html_escape 的定义，我们会发现撇号包含在该字符串中。

修复方法是升级您的 ERB/Erubis，或者覆盖 h/html_escape 定义以使其正确。您可以使用上面的定义作为起点。

Answer 2

我在 Rails 4 中遇到了类似的问题，其中撇号将显示为 '
问题实际上似乎是我使用truncate函数来显示文本。删除后，撇号将按预期显示。

在这种情况下，添加 escape:false 作为截断选项可以解决问题。

Answer 3

Ruby on Rails 3 自动执行h。这不再需要了。使用

<%= @post.body %>

而不是

<%=h @post.body %>

如果您确实想输出任何内容而不转义它，请使用 raw：

<%=raw @post.body %> <!-- For example, for use in a plaintext format */

Answer 4

从 actionpack/lib/action_view/erb/util.rb 中查看源代码，撇号没有编码，只有 & 。 > < “ 字符。

我的猜测是您的 Rails 应用程序中的某个库/插件/gem 重新定义了 html_escape 或 HTML_ESCAPE 常量。您还应该直接检查数据在数据库中，以确保保存时尚未对其进行编码。