【发布时间】：2014-10-16 10:46:05
【问题描述】：
我正在将 cmets 从 CSV 导入 DB。 在 CSV 中，我有多行 cmets，所以当我导入它时，行用 \n 分隔。 注释保存在 DB 的字符串列中。 为了安全起见，当我在视图中显示它时，我使用 raw @cmets。 但是 raw 缺陷 cmets 并使其成为单行。
怎么样？
【问题讨论】：
标签： ruby-on-rails multilinestring
【发布时间】：2014-10-16 10:46:05
【问题描述】：
首先，不要使用 raw，因为它可能会导致 cmets 中的恶意 HTML 被传递给您的访问者。
您需要将换行符转换为 HTML br 标签，如下所示：
comment.gsub("\n", "<br>")
【讨论】：
-
用什么代替原始的？还是什么都不用？
-
什么都不用，除非你真的需要它（而且只有你真的很确定）。规则是永远不要相信用户输入。如果您想通过 CSV 中的 HTML 内容，请通过 Loofah 之类的消毒剂运行它，以过滤掉任何不需要的标记或脚本标签。