<％= h…％>在Rails中是什么意思？

Question

我在這里找到以下語法：

<%=h @person.first_name %>

h是什么意思？

Answer 1

它用於轉義標簽的輸出以避免跨站點腳本編寫。 在rails 3中，它已更改為字符串的默認值（因此，您不必說逃避此字符串，而是說這是一個安全的字符串）。

http://api.rubyonrails.org/classes/ERB/Util.html#method-ch

Answer 2

h是Rails中html_escape方法的別名。

如果您不使用h來轉義文本，則有人可以在其中編寫javascript，並且在呈現頁面時它將被執行。

因此，如果不確定所顯示的數據絕對安全，請通過可轉義HTML標記字符的過濾器運行該數據。