Rails 3.0.2 L'array # unisce HTML sicuro?

Question

Ho un gioiello rotaie che utilizza un frammento come:

components = [] 
components << label_for(attribute) 
components << ... 
components << text_field(attribute) 
return components.join 

La gemma ha funzionato bene in Rails 3.0.1, tuttavia sfugge (rende come testo in un browser) tutto il codice HTML dopo l'aggiornamento a Rails 3.0.2 . Cosa sto facendo qualcosa di sbagliato? Grazie.

Answer 1

Come @ sj26 sottolinea, utilizzare le guide built-in aiuto:

<%= safe_join(components) %> 

Oppure utilizzare il mio rails_join gemma per fare Array#join HTML-safe consapevole, nel qual caso il tuo codice originale funzionerà così com'è.

Answer 2

Le stringhe vengono automaticamente convertite in HTML in Rails3. È necessario cambiare questa ultima riga a:

return components.join.html_safe 

In alternativa, se si modifica la gemma è troppo fastidio lo si può fare dal punto di vista:

<%= helper_name.html_safe %> 

Answer 3

String#join non è SafeBuffer -consapevoli.

String#html_safe indica che la stringa è già in formato HTML, impedendo agli utenti di inserire frammenti di HTML nelle pagine. Dai un'occhiata a this post di Yehuda Katz su SafeBuffer e perché/come dovresti usarli.

Se si dispone di una vasta gamma di String e SafeBuffer si desidera concatenare, accertarsi di aver eseguito #html_safe su tutti loro, o li #concat in un SafeBuffer in questo modo:

['<one>', '<p>two</p>'.html_safe].inject ''.html_safe, &:concat 
=> "&lt;one&gt;<p>two</p>" 

Rails ha un incorporato in helper chiamato safe_join che farà questo per voi.

Answer 4

http://makandra.com/notes/954-don-t-mix-array-join-and-string-html_safe

class Array 
    def html_safe_join(delimiter='') 
    ''.html_safe.tap do |str| 
     each_with_index do |element, i| 
     str << delimiter if i > 0 
     str << element 
     end 
    end 
    end 
end 
[safe_string, unsafe_string].html_safe_join(' ') 
# '<span>foo</span>&lt;span&t;bar&lt;/span&gt;' 

Answer 5

come su virgolette manuali?

<%= raw ['<div>', 'any', '</div>'].map{|val| h(val)}.join('<br />') %>