ruby中的双等号==问题详解
在Ruby的Slim和ERB模板中，双等号==是raw辅助方法的缩写，直接输出未经HTML转义的内容，易造成跨站脚本（XSS）漏洞。为确保安全，应使用单等号或html_safe方法转义输出。
前两天写代码时，突然收到项目警告——代码里存在 XSS 漏洞。顺着报告里的 URL 排查下去，发现是页面模板中的一个小失误。说实话，同样的问题两年前就有过讨论，按理说有点经验的同学应该都知道这个坑，但既然又碰上了，还是值得拿出来再提醒一下，免得更多人踩进去。
问题根源
漏洞出现的地方，都有类似这样的 slim 代码：
input class='xxx' value==params[:account]
问题就出在这个双等号 == 上。在 slim 和 ERB 模板中（HAML 等模板不太清楚），双等号其实是 Rails 中 raw 这个 helper 方法的缩写。官方文档写得很清楚：
To insert something verbatim use the raw helper rather than calling html_safe: <%= raw @cms.current_template %> <%# inserts @cms.current_template as is %> or, equivalently, use <%==: <%== @cms.current_template %> <%# inserts @cms.current_template as is %>
也就是说，上面的代码等价于：
input class='xxx' value=raw(params[:account])
而 raw 方法在 Rails 文档中的解释是这样的：
This method outputs without escaping a string. Since escaping tags is now default, this can be used when you don't want Rails to automatically escape tags. This is not recommended if the data is coming from the user's input.
意思很直白：这个方法会跳过对传入字符串的标签过滤，直接将其输出到 HTML 中。所以原因很清楚了——不小心多敲了一个等号，变成了双等号，导致用户的输入被原封不动地塞进了待渲染的 HTML，在不知情的情况下留下了 XSS 漏洞。
修复方案也很简单，去掉一个等号就行：
input class='xxx' value=params[:account]
这样 Rails 就会继续自动过滤 :account 参数，自动处理掉恶意内容。
raw、String#html_safe 以及 <%== %>
翻了一下 raw 的源码，极其简单，只有一行：
# File actionview/lib/action_view/helpers/output_safety_helper.rb, line 16 def raw(stringish) stringish.to_s.html_safe end
raw 只是先把参数转成字符串，然后调用了 String#html_safe 方法。而 String#html_safe 的文档同样反复强调要慎用：
It will be inserted into HTML with no additional escaping performed. It is your responsibilty to ensure that the string contains no malicious content. This method is equivalent to the raw helper in views.
因此可以总结：以下三种写法完全等价，都是不安全的：
input class='xxx' value==params[:account] input class='xxx' value=raw(params[:account]) input class='xxx' value=params[:account].html_safe
那如果确实需要输出包含 HTML 的内容（比如富文本编辑器编辑的内容），怎么保证安全？
方案其实很简单——用文档推荐的 sanitize helper 方法：
It is recommended that you use sanitize instead of this method(html_safe). (#sanitize)Sanitizes HTML input, stripping all tags and attributes that aren't whitelisted.
或者也可以引入其他第三方的 gem 来做过滤处理。
总结
- 不要用双等号缩写，避免项目中其他人（尤其是 Rails 新手）在不了解的情况下照着滥用；
- 尽量不用
rawhelper 或String#html_safe方法，优先用#sanitize； - 多借助自动扫描工具，比如 brakeman，能快速高效检测出 XSS 漏洞在内的多种安全隐患。
AirBuddy 3 是面向 macOS 的蓝牙外设增强工具，可集中查看 AirPods、Beats 与苹果设备电量，提供快速连接、播放控制、电量提醒、桌面小组件和多台 Mac 外设接力等功能。
AirServer macOS版可把 Mac 转换为无线投屏接收端，通过 AirPlay 或 Google Cast 接收手机、平板和电脑画面，并支持多设备同时连接、高清镜像及会话录制，适合家庭娱乐、课堂教学、会议演示和应用展示。
Beamer 4是面向macOS的本地视频投屏工具，可将Mac中的影片投放到Apple TV、Chromecast及兼容设备，支持常见格式、多类字幕、环绕声、播放列表和电视遥控操作。
Boom 3D macOS版是一款系统级音效增强工具，可为音乐、电影、游戏和流媒体提供3D虚拟环绕声、31段均衡器、音量增强及应用独立音量控制，并支持本地播放器与多种音频输出设备。
Boris FX macOS版是一套面向剪辑、合成、调色及动态图形工作的专业后期工具，涵盖视觉特效、平面与三维跟踪、转描、画面修复、粒子动画和音频清理，可配合多种主流宿主软件使用。
Capto 是面向 macOS 的屏幕截图、高清录屏与媒体编辑工具，支持区域及整屏捕获、网页长截图、双音轨处理、图片和视频标注、素材分类与多渠道分享，适合教师、学生、内容创作者及需要制作演示教程的用户。
Cursor Crane 是一款仅面向 macOS 的键盘操控效率工具，可通过提示标签、网格、文字查找和窗口模式完成点击、滚动、定位与切换，并支持屏幕内容提取、脚本及工作流扩展。
Deep Freeze 冰点还原 macOS版通过冻结系统配置，让受保护的Mac在重新启动后回到预设状态，并提供解冻空间、维护计划、密码保护及Apple Remote Desktop管理能力。
Focusky macOS版是一款面向教学课件、商务汇报、产品展示和动画宣传内容的演示制作工具。它通过无限画布、路径编排、缩放旋转转场及多媒体编辑，将传统逐页幻灯片转化为更具空间感的动态演示。
Folder Colorizer 2 macOS版是一款直观的文件夹外观定制工具，可更换颜色，添加表情、贴纸及图片背景，并支持批量处理、智能推荐和恢复默认样式，帮助用户更快辨认工作、学习与生活资料。
Fuzor Windows版是一套面向建筑、工程与施工团队的BIM/VDC平台，可汇集多来源模型和进度数据，完成实时可视化、4D施工推演、场地物流规划、问题检查、成果演示及团队协同。
iMazing Windows版是一款面向iPhone、iPad和iPod用户的本地设备管理工具，可在电脑上完成多版本备份、照片与音乐传输、信息导出、应用数据管理以及新旧设备迁移。
Mercalli是一款面向Windows用户的专业视频稳定与画面修复工具，可分析手持、运动相机、无人机和长焦素材中的抖动，校正滚动快门及CMOS果冻效应，并提供曝光、色彩、锐度和镜头画面优化功能。
NiceLabel是面向Windows平台的商业条码标签设计与打印工具，可制作文字、图像、条码及变量数据标签，并支持数据库连接、批量打印、打印自动化和集中管理，适用于制造、仓储、物流及零售等场景。
pdfFactory是一款面向Windows的PDF虚拟打印机，可从支持打印的应用程序创建PDF，在保存前完成即时预览、页面排序、旋转、删除及多文档合并，并支持字体嵌入、邮件发送等办公功能。
Polarr Windows版是一款面向摄影爱好者与内容创作者的照片编辑工具，提供曝光和色彩调整、曲线、HSL、滤镜、局部蒙版、人像修饰、叠加效果及批量导出等功能，适合日常修图、社交媒体配图和较细致的影像后期处理。
AIDA64是一款面向Windows电脑用户的系统信息、硬件诊断与基准测试工具，可识别处理器、主板、显卡、存储设备和系统组件，并实时监控温度、电压、功耗及风扇转速，适合装机验收、性能比较和稳定性排查。
Portraiture Windows版是一款面向人像摄影后期的智能润饰插件，可在Photoshop、Lightroom Classic和Affinity中完成皮肤平滑、AI区域识别、肤色统一及补光处理，
priPrinter 7 Windows版是一款虚拟打印机与打印预览工具，可接收其他程序的打印任务，在输出前调整页面顺序、边距与版式，并添加水印、页码或批注。专业版还支持文本修正、内容脱敏、打印历史和PDF发布。
PSD Manager是适用于Windows版Autodesk 3ds Max的渲染后期插件，可把画面、渲染元素、对象及材质蒙版整理成分层PSD或PSB文件，便于在Photoshop、Affinity Photo和After Effects
RayFire是运行于Windows版Autodesk 3ds Max中的破碎与刚体动力学插件，集成实时Voronoi切割、交互式拆除、爆炸、裂纹、缓存和体素等工具，适合影视特效、游戏动画及建筑坍塌镜头制作。