Ruby on Rails: ¿cómo representar una cadena como HTML?

yo tengo

@str = "<b>Hi</b>"

y en mi opinión erb:

<%= @str %>

Lo que se mostrará en la página es: <b>Hi</b>cuando lo que realmente quiero es Hola . ¿Cuál es la forma rubí de "interpretar" una cadena como marcado HTML?

Editar : el caso donde

@str = "<span class=\"classname\">hello</span>"

Si en mi opinión lo hago

<%raw @str %>

El código fuente HTML es <span class=\"classname\">hello</span> donde lo que realmente quiero es <span class="classname">hello</span>(sin las barras invertidas que se escapaban de las comillas dobles). ¿Cuál es la mejor manera de "escapar" de esas comillas dobles?

ACTUALIZAR

Por razones de seguridad, se recomienda usar en sanitizelugar de html_safe. Enlace

Lo que sucede es que, como medida de seguridad, Rails está escapando de su cadena porque podría tener código malicioso incrustado en ella. Pero si le dice a Rails que su cadena es html_safe, la pasará de inmediato.

@str = "<b>Hi</b>".html_safe
<%= @str %>

O

@str = "<b>Hi</b>"
<%= @str.html_safe %>

Usar rawfunciona bien, pero todo lo que hace es convertir la cadena en una cadena y luego llamar a html_safe. Cuando sé que tengo una cadena, prefiero llamar a html_safe directamente, porque omite un paso innecesario y deja en claro lo que está sucediendo. Los detalles sobre el escape de cadenas y la protección XSS se encuentran en este Asciicast .

Use crudo :

<%=raw @str >

Pero como dice correctamente @ jmort253, considere dónde pertenece realmente el HTML.

Si railsutiliza Erubis , la mejor manera de hacerlo es

<%== @str >

Tenga en cuenta el doble signo igual. Consulte la pregunta relacionada sobre SO para obtener más información.

También puede usar el simple_format(@str)que elimina el código malicioso. Lea más aquí: http://api.rubyonrails.org/classes/ActionView/Helpers/TextHelper.html#method-i-simple_format

Estás mezclando tu lógica de negocios con tu contenido. En cambio, recomendaría enviar los datos a su página y luego usar algo como JQuery para colocar los datos donde los necesite.

Esto tiene la ventaja de mantener todo su HTML en las páginas HTML a las que pertenece para que sus diseñadores web puedan modificar el HTML más tarde sin tener que pasar por el código del lado del servidor.

O si no quieres usar JavaScript, puedes probar esto:

@str = "Hi"

<b><%= @str ></b>

Al menos de esta manera, su HTML está en la página HTML a la que pertenece.

O puede probar el método CGI.unescapeHTML .

CGI.unescapeHTML "<p>This is a Paragraph.</p>"
=> "<p>This is a Paragraph.</p>"

ya que está traduciendo y seleccionando su código deseado del archivo codificado de una persona, ¿podría usar content_tag, en combinación con sus expresiones regulares?

Al robar los documentos de la API, puede interpolar este código traducido en un me content_taggusta:

<%= content_tag translated_tag_type.to_sym, :class => "#{translated_class}" do -%>
<%= translated_text %>
<% end -%>
# => <div class="strong">Hello world!</div>

Sin conocer su código, este tipo de pensamiento se asegurará de que su código traducido sea demasiado compatible.

@str = "<span class=\"classname\">hello</span>" Si en mi opinión lo hago

<%raw @str %> El código fuente HTML es <span class=\"classname\">hello</span>donde realmente quiero <span class="classname">hello</span>(sin las barras invertidas que escapaban a las comillas dobles). ¿Cuál es la mejor manera de "escapar" de esas comillas dobles?

Solución: use comillas dobles dentro de comillas simples (o simples dentro de dobles) para evitar escapar con una barra diagonal inversa.

@str = '<span class="classname">hello</span>'
<%raw @str %>

La versión html_safe funciona bien en Rails 4 ...

<%= "<center style=\"color: green; font-size: 1.1em\" > Administrators only </center>".html_safe if current_user.admin? %
>