thr3a https://blog.hatena.ne.jp/thr3a/ 動かざることバグの如し https://blog.turai.work/ rails 環境 Rails 8.0 safe_joinサンプルコード Railsのビューで複数の文字列をHTMLタグで結合したい場面がある。たとえば複数行のテキストを<br>区切りで表示したいとき、素朴に書くとこうなる。 lines.join("<br>").html_safe これで動くにはするが、html_safeを使うと全体のHTMLエスケープが無効になり、linesの中にユーザー入力が混入していると XSS の温床になる。そこで使うのがsafe_joinだ。 module ApplicationHelper def make_sample_lines lines = [] lines << "り… 190 <iframe src="https://hatenablog-parts.com/embed?url=https%3A%2F%2Fblog.turai.work%2Fentry%2F20260610%2F1781045455" title="安易にhtml_safe使うな safe_join使え - 動かざることバグの如し" class="embed-card embed-blogcard" scrolling="no" frameborder="0" style="display: block; width: 100%; height: 190px; max-width: 500px; margin: 10px 0px;"></iframe> Hatena Blog https://hatena.blog 2026-06-10 07:50:55 rich https://blog.turai.work/entry/20260610/1781045455 1.0 100%