防止语言环境文件中的 HTML 字符实体被 Rails3 xss 保护破坏

我们正在构建一个应用程序，这是我们第一个使用 Rails 3 的应用程序，并且我们必须从一开始就构建 I18n。作为完美主义者，我们希望在我们的视图中使用真正的排版：破折号、卷曲引号、省略号等。

这意味着在我们的 locales/xx.yml 文件中我们有两个选择：

1. 内联使用真正的 UTF-8 字符。 应该可以，但很难打字，并且 由于数量让我害怕 仍然顽皮的软件 统一编码的东西。
2. 使用 HTML 字符实体（’ — ETC）。更容易打字， 并且可能更兼容 行为不当的软件。

我宁愿采用第二种选择，但是 Rails 3 中的自动转义会带来问题，因为 YAML 中的 & 符号本身会自动转换为字符实体，从而导致浏览器中出现“可见”的 &8217;s。

显然这可以通过使用来解决raw在字符串上，即：

raw t('views.signup.organisation_details')

但我们并不乐意走全球路线raw- 每次我们t因为它会让我们容易犯错误并产生 XSS 漏洞。

我们可以选择性地raw我们知道包含字符实体的字符串，但这很难扩展，而且感觉是错误的 - 此外，包含一种语言的实体的字符串可能不包含另一种语言的实体。

有什么建议可以用一种聪明的 Rails-y 方法来解决这个问题吗？或者我们注定会遇到垃圾排版、xss漏洞、浪费时间的努力或所有这一切？

There is a ticket in lighthouse https://rails.lighthouseapp.com/projects/8994/tickets/2409-activerecord-double-escapes-error_messages_for for this problem, and the resolution is to append _html to the i18n key in the locales/xx.yml file and use the t alias¹ to denote an html_safe string. For example:

en:
  hello: "This is a string with an accent: ó"

becomes:

en:
  hello_html: "This is a string with an accent: ó"

它将创建以下输出：

这是一个带有重音符号的字符串：ó

这将阻止你写raw t('views.signup.organisation_details')并会产生更干净的输出：t('views.signup.organisation_details_html')。并且在交换的同时raw for _html看起来并不是最伟大的交易，它确实清楚地表明您正在输出假定为 html_safe 字符串的内容。

---

¹ I've tested the code suggested in the lighthouse ticket. What I found was that you had to specifically use the t alias. If you used I18n.t or I18n.translate the translation didn't treat _html as html_safe:

I18n.t('hello_html') 
I18n.translate('hello_html') 
# Produces => "This is a string with an accent: ó"

t('hello_html')      
# Produces => "This is a string with an accent: ó"

我认为这不是预期的行为RoR TranslationHelper 文档 http://api.rubyonrails.org/classes/ActionView/Helpers/TranslationHelper.html#method-i-translate.