[B! raw] nabinnoのブックマーク

nabinno id:nabinno

rawに関するnabinnoのブックマーク (6)

I18n.tでHTMLを出力するのにrawやhtml_safeを使ってはいけない - Qiita
みたいなのを書くわけですが、このままだと html_safe でないので自動的にエスケープされてしまいます。 <strong>tnj</strong>さんからメッセージがあります！悲しい！正しい HTML の含み方この問題に直面した Rails I18n 初級者は、「じゃーエスケープ避けてそのまま出力させるしかなくない？」と、 raw だったり html_safe を付けてしまいがちです。でもそうなると、もし @username にタグが含まれていた場合もエスケープされずに出力されてしまうので、簡単に XSS を引き起こしてしまいます。「ここはユーザー入力値は入らないから大丈夫だよ！」は絶対守り切れないし、変数を必要とするたびに「本当にユーザー入力値入ってこないんだっけ?」なんて判断をいちいち必要としていては時間がいくらあっても足りないので、機械に任せたいところです。で、 Rai
nabinno 2014/10/10
_html

qiita

ruby-on-rails

i18n

html_safe

raw
リンク
ActionView::Helpers::OutputSafetyHelper
nabinno 2014/09/19
ruby-on-rails

actionview-helpers

raw

safe_join

html_safe
リンク
raw (ActionView::Helpers::RawOutputHelper) - APIdock
nabinno 2014/09/19
ruby-on-rails

raw

actionview-helpers

to_s.html_safe
リンク
raw vs. html_safe vs. h to unescape html
Suppose I have the following string @x = "<a href='#'>Turn me into a link</a>" In my view, I want a link to be displayed. That is, I don't want everything in @x to be unescaped and displayed as a string. What's the difference between using <%= raw @x %> <%= h @x %> <%= @x.html_safe %> ?
nabinno 2014/09/19
stack-overflow

h

raw

html_safe

to_s.html_safe

html_escape
リンク
raw - リファレンス - - Railsドキュメント
1.0.0 1.1.0 1.1.1 1.1.6 1.2.0 1.2.6 2.0.0 2.0.1 2.0.3 2.1.0 2.2.1 2.3.2 2.3.8 3.0.0 3.0.5 3.0.7 3.0.9 3.1.0 3.2.3 3.2.8 3.2.13 4.0.0 4.1.0 4.2.1 説明文字列をエスケープしない。Rails3では、デフォルトで「<%= %>」で出力される値はエスケープされる。使い方 raw(文字列) エスケープする文字列変換前変換後説明
nabinno 2014/09/19
ruby-on-arils

raw

to_s.html_safe
リンク
ITトレメ　Rails 3 技術者認定ブロンズ試験－＠IT自分戦略研究所
HTMLのビューを描画してブラウザにクリック可能なリンクを表示させたいときに、(1)に入れるコードとして適切なものを1つ選びなさい。 1: <% s = '<a href="#">click</a>' %> 2: __(1)__
nabinno 2014/09/18
atmarkit

ruby-on-rails

actionview-helpers

raw

html_escape
リンク
1

お知らせ

もっと読む

公式Twitter

@HatenaBookmark
リリース、障害情報などのサービスのお知らせ
@hatebu
最新の人気エントリーの配信

キーボードショートカット一覧

j次のブックマーク

k前のブックマーク

lあとで読む

eコメント一覧を開く

oページを開く

設定を変更しましたx