ruby-on-rails - XSSの問題なしにアドレスを表示する方法

Question

Rails 3.2.xを使用しており、次のコードが表示されています。

<%= order.address.address_array.join('<br />').html_safe %>

addressは、address1、address2、city name、state name、country name、およびzipcodeの配列です-標準的なものです。

html_safeユーザーが都市名を入力したかのようにコンテンツをマークしているので<script>something</script.、そのjavascriptコードが実行されます。

セキュリティの問題を明らかにすることなく、改行でアドレスを表示するためのクリーンな方法は何ですか。

Answer 1

参加する前に、アドレス配列の各行でhtml_safeを呼び出す必要があります。次のようになります（テストされていません）：

<%= order.address.address_array.map(&:html_escape).join('<br />') %>

Answer 2

試す：

simple_format(h(address))

スクリプトをエスケープしてから<br/>、改行の代わりに追加します。