Rails 3.0.2 Array # rejoindre HTML Safe?

Question

J'ai un petit bijou de rails qui utilise un extrait comme:

components = [] 
components << label_for(attribute) 
components << ... 
components << text_field(attribute) 
return components.join 

Le bijou a bien fonctionné dans Rails 3.0.1, mais il échappe (rend sous forme de texte dans un navigateur) tous HTML après la mise à jour Rails 3.0.2 . Qu'est-ce que je fais quelque chose de mal? Merci.

Answer 1

Comme @ SJ26 souligne, utilisez les rails intégrés helper:

<%= safe_join(components) %> 

Ou utiliser mon petit bijou rails_join faire Array#join au courant html de sécurité, auquel cas votre code original fonctionnera tel quel.

Answer 2

Les chaînes sont automatiquement protégées par HTML dans Rails3. Vous devez changer cette dernière ligne à:

return components.join.html_safe 

alternativement, si l'édition de la gemme est trop compliqué, vous pouvez le faire à partir de la vue:

<%= helper_name.html_safe %> 

Answer 3

String#join n'est pas SafeBuffer -Aware. Cela signifie que votre chaîne est déjà protégée par un code HTML, ce qui empêche les utilisateurs d'insérer des bits HTML dans vos pages. Découvrez this post par Yehuda Katz sur SafeBuffer et pourquoi/comment vous devriez les utiliser.

Si vous avez un tableau de String et SafeBuffer vous voulez concaténer, assurez-vous que vous avez exécuté #html_safe sur tous, ou les #concat dans un SafeBuffer comme si:

['<one>', '<p>two</p>'.html_safe].inject ''.html_safe, &:concat 
=> "&lt;one&gt;<p>two</p>" 

Rails a un intégré en assistant appelé safe_join qui fera cela pour vous.

Answer 4

http://makandra.com/notes/954-don-t-mix-array-join-and-string-html_safe

class Array 
    def html_safe_join(delimiter='') 
    ''.html_safe.tap do |str| 
     each_with_index do |element, i| 
     str << delimiter if i > 0 
     str << element 
     end 
    end 
    end 
end 
[safe_string, unsafe_string].html_safe_join(' ') 
# '<span>foo</span>&lt;span&t;bar&lt;/span&gt;' 

Answer 5

que diriez-vous de la citation manuelle?

<%= raw ['<div>', 'any', '</div>'].map{|val| h(val)}.join('<br />') %>