07.12.2024

Codificação de Strings em HTML com Ruby e Rails: Capacidades Nativas

Resposta Rápida

Para codificar uma string em HTML usando JavaScript, você pode usar uma função com a propriedade textContent do DOM:

function htmlEncode(str) {
  var div = document.createElement('div');
  div.textContent = str;
  return div.innerHTML;
}

// Exemplo de uso
console.log(htmlEncode('<script>'));  // &lt;script&gt;, faça isso por sua conta e risco!

Essa função transforma caracteres como <, >, e & em suas entidades HTML correspondentes (<, >, &), o que ajuda a prevenir ataques XSS ao inserir texto em um documento HTML.

Ruby: Codificação HTML como Parte do Kit Profissional

Em Ruby, existe uma classe conveniente chamada CGI com o método escapeHTML() projetado para escapar caracteres HTML:

require 'cgi'
encoded_string = CGI.escapeHTML("<script>alert('XSS!')</script>")
puts encoded_string  # Saída: "&lt;script&gt;alert('XSS!')&lt;/script&gt;", enquanto XSS diz: "Adeus, Felicia!", HTML responde: "Olá, confiabilidade!"

As soluções nativas em Ruby são confiáveis e testadas pelo tempo, assim como uma receita de família muito querida para torta de maçã.

Rails: Escapando HTML Tornado Ainda Mais Simples

No ambiente Rails, a codificação HTML é simplificada graças ao helper nativo h. Com o lançamento do Rails 3 e versões posteriores, o HTML é automaticamente escapado, economizando tempo e evitando preocupações. No entanto, para inserir HTML puro sem escapar, a função raw é disponibilizada:

<%= raw "<a href='http://example.com'>Link</a>" %> // "Eu juro: está tudo certo!"

UTF-8: Conquistando a Internet em Velocidades Sem Precedentes

Se você está preocupado com a compatibilidade com UTF-8, pode ficar tranquilo. Os métodos CGI::escapeHTML e o helper h funcionam perfeitamente com codificação UTF-8. O UTF-8 é agora o padrão indiscutível para codificação de páginas web.

A Batalha dos Escapadores de HTML: CGI vs ERB vs Rack

Ao considerar ferramentas para escapamento de HTML em Ruby, as seguintes abordagens se destacam:

• O método ERB::Util.html_escape escapa HTML instantaneamente, realizando milagres bem diante dos seus olhos:

puts ERB::Util.html_escape("<script>alert('XSS!')</script>") // mágica em ação

• Rack::Utils.escape_html também oferece uma solução confiável e eficiente para escapamento de HTML:

require 'rack'
puts Rack::Utils.escape_html("<script>alert('XSS!')</script>") // e aqui está outro truque magnífico para você!

Escapamento DIY: Para Aqueles que Não Têm Medo de Riscos

Para evitar cair nas armadilhas de soluções caseiras (que podem ser arriscadas), é recomendado confiar nos métodos nativos de ferramentas confiáveis como CGI, ERB ou Rack.

Visualização

Imagine a codificação HTML como um traje protetor para strings:

String Regular:    "Olá & Adeus <script>"

⛑  Colocando o traje protetor ⛑

HTML Codificado: "Olá & Adeus <script>"

Assim como um equipamento especial transforma uma pessoa comum em um super-herói, a codificação HTML fornece às strings um traje confiável para viagens seguras pela internet.

Recursos Úteis

1. Entidade - Glossário de Documentos da Web MDN: Definições de termos relacionados à Web | MDN — um guia abrangente do MDN sobre entidades HTML.
2. Entidades de Caracteres HTML - W3Schools — uma visão geral dos caracteres HTML e suas codificações.
3. Quais caracteres precisam ser escapados em HTML? - Stack Overflow — conselhos da comunidade sobre como usar corretamente as entidades HTML.
4. GitHub - mathiasbynens/he: Um robusto codificador/decodificador de entidades HTML escrito em JavaScript. — código-fonte para codificação/decodificação de entidades HTML em JavaScript.
5. Símbolos, Entidades, Caracteres e Códigos HTML — HTML Arrows — um guia completo e uma folha de dicas para símbolos e códigos HTML.
6. Referência de caracteres numéricos - Wikipédia — um artigo sobre referências de caracteres numéricos em HTML.

Video

Navigation