Rails：视图：content_tag 帮助程序

Question

我有一个控制器，它在渲染视图并输出错误之前执行以下操作。

flash[:error]="Flash error"
flash[:info] = "Flash info"

我想很好地格式化它。为此，我编写了一个如下所示的帮助程序

def show_flash
    a=""
    [:success, :info, :error, :warning].each do |key|
        a += content_tag(:div, flash[key], :id => key, :class => "#{key}") unless flash[key].blank?
    end
end

在我看来，我调用：

<%= show_flash %>

当我尝试运行此程序时，网页会呈现 show_flash 的全文，包括 div 标签、尖括号等。当我检查该元素（使用 Firefox 或 Chrome）时，它显示用双引号括起来的文本。

然后我尝试更改助手中的一行，如下所示：

a = content_tag(:div, flash[key], :id=>key, :class=>"#{key]") unless flash[key].blank?

即我只会捕获最后一个内容标签（错误）而不是两者。

在第二种情况下，Web 浏览器使用我的 CSS 规则为“error”类呈现正确格式化的 div 标签。我没有看到浏览器中打印出任何 div 标签。

为什么连接两个 content_tag 元素会让我如此悲伤？

我很感激你能给我的任何帮助。

Answer 1

因为 "" 未标记为 html_safe。这是 Rails 3 中默认启用的 Rails XSS 保护的一部分。

您可能会发现此 Railscast 有关 XSS 保护的信息。

Answer 2

事实证明，从 Rails 2 到 Rails 3 时，默认情况下会启用 html 转义，并且您必须在连接 content_tag 字符串之前显式禁用它。代码如下所示：

def show_flash
  a=content_tag(:span, "",:escape=>false)
  [:success, :info, :error, :warning].each do |key|
    a = a+content_tag(:div, flash[key], :id => key, :class => "#{key}", :escape=>false) unless flash[key].blank?
  end     
  a
end

该选项 :escape=>false 是使其工作所需的内容。

Andrew Marshall 为我指明了正确的方向，经过一番搜索，我偶然发现了 耶胡达的智慧之言。这就是 :escape 子句变得明显的地方。