[Rails]ERBのエスケープを自在に扱おうぜ #Ruby

コメントにてご指摘をいただきました

HTMLタグを動的に生成する必要がある場合も、content_tagや（aタグでは）link_toなど、Railsの用意しているヘルパーを使えば、HTMLとして出力するかエスケープするかを適宜判断してくれます（自分でhやhtml_safeしなくて問題ありません）。

using_helper.rb

def return_url2(text)
  link_to text, 'http://google.com/'
end

純粋な文字列リテラルを.html_safeするのはありかもしれませんが、どこから来るかわからない入力で、テキストからHTMLを生成するのは、（ユーザーからHTMLを受け付けることが本当に必要な場合など）よほどの場合をのぞいて避けるべきでしょう。

Rails3からの機能らしいんですが、
ERBで

<%= @text %>

とかやって@text内の文字列をHTMLに変換するときにHTMLタグ等を自動でエスケープするようになってます。

これはユーザーに任意で文字列を入力してもらうときのセキュリティ対策として必須です。

けどHTMLタグをHelperとかで作成したい場合とか困ります。

application_helper.rb

def return_url
  return "<a href="http://google.com">http://google.com</a>"
end

test.html.erb

<%= return_url %>

↓こうHTML出力される

<a href="http://google.com">http://google.com</a>

そんなときは html_safeメソッドを使う

<%= return_url.html_safe %>

とすると、http://google.com がこちらで意図したとおりaタグで出力されます。

さっきのHelperメソッドレベルであればhtml_safeメソッドを使うだけで問題ないんですが、ユーザーが任意で入力できるテキストにこちらが意図してHTMLタグを埋め込みたい場合に困ります。

例えばメッセージ等の中にURLが組み込まれている場合、それをaタグで囲ってブラウザ上でクリックできる状態（＝有効化）にしたい。。
けどメッセージはユーザーが任意で入力できるため、ユーザーが入力したHTMLタグ等はエスケープ（＝無効化）したい。。

という割とよくある？ケースにはこうしたほうが良いです。

test.html.erb

<%= return_url2(h(@test_text)).html_safe %>

ちょっとわかりづらいので順を追って。。

１．controllerから取得したテキストをhメソッドでエスケープ（無効化）します。

test.html.erb

h(@test_text)

２．エスケープした後の@test_textをHelperメソッドのreturn_url2に渡します。
（return_url2メソッドは任意）

test.html.erb

return_url2(h(@test_text))

３．return_url2メソッドの結果をhtml_safeにする
（こちらが意図して付けたHTMLタグは有効化する）

test.html.erb

return_url2(h(@test_text)).html_safe

４．完成。

test.html.erb

<%= return_url2(h(@test_text)).html_safe %>

html_safeメソッド（HTMLタグの有効化）とhメソッド（HTMLタグのエスケープ＝無効化）をきちんと使い分ければHTMLタグエスケープもあなたのもの！

※もうちょっといい書き方あるよってひとは是非教えて下さい！！