rails6 DBから表示させた文字列の改行方法

こちらのコードで指定したモデルの指定したレコードの指定したフィールドをランダムで表示させる事ができました。

ruby.controller
def show
@problems = Problem.offset( rand(Problem.count)).limit(1).pluck(:study_type, :explanation_text, :problem_text).join(" ")
```こちらをビューに表示させると文字列が横並び状態になります。
それだと見栄えが良くないので改行したいです。
それと改行した所に文字列を加えたいです。

join(" ")の()内に/nや<br>など入力して見ましたが、文字列の間に/nや<br>が表示されるだけでした。

こちらのコードで実装して見ました。
```ここに言語を入力
ruby.controller
def show
@problems = Problem.offset( rand(Problem.count)).limit(1).pluck(:study_type).join(" ")

@problemse = Problem.offset( rand(Problem.count)).limit(1).pluck(:explanation_text).join(" ")

@problemses = Problem.offset( rand(Problem.count)).limit(1).pluck(:problem_text).join(" ")

案の定、idが違うレコードのフィールドがビューに表示されました。
どうかご教授願います。

ruby.view
<% provide(:title, "問題出題") %>
<div class="container">
    <div class="row">
        <h1>問題</h1>
        <ul class="problems">
        <%= @problems %><br>
        </ul>
    </div>
</div>

ここから変更したコードです。

ruby.controller
def show
@problems = Problem.offset( rand(Problem.count)).limit(1).pluck(:study_type, :explanation_text, :problem_text).join("<br>")

ruby.view
<% provide(:title, "問題出題") %>
<div class="container">
    <div class="row">
        <h1>問題</h1>
        <ul class="problems">
        <%= raw(nl2br(@problems)) %>
        </ul>
    </div>
</div>

application_helper.rb
module ApplicationHelper
def nl2br(str)
    h(@problems).gsub(/\R/, "<br>")
  end
end

m.ts10806

2021/11/27 03:19

ビュー側のコードも提示してください

ro-ze1106

2021/11/27 03:56

こちらになります。 <% provide(:title, "問題出題") %> <div class="container"> <div class="row"> <h1>問題</h1> <ul class="problems"> <%= @problems %><br> </ul> </div> </div>

m.ts10806

2021/11/27 05:22

質問は編集できるので

行動規範の内容に同意します

回答2件

ベストアンサー

@m.ts10806 さんの回答で完全に正しいです。

しかし、質問者の改訂コードではその回答を反映しきれていなくて、セキュリティホールがあり得ます(XSS対策がなされていない)。そこで、以下、具体案を提示します。
元コードを尊重するならば、たとえば、以下のようにするとよいでしょう(試していませんが)。

ruby
1# Controller
2def show
3  @problems = 
4     Problem.offset(rand(Problem.count)).limit(1).
5      pluck(:study_type, :explanation_text, :problem_text).first  # → 1次元Array

erb
1<%# View %>
2        <%= raw(@problems.map{|i| h(i)}.join("<br>")) %>

鍵は、html_safe (raw())を使うのは、絶対に安全と分かっている文字列に対してだけであるべきという点です。この場合であれば安全が保証できるのは<br>だけ。

(以下、追記: 元のコードでは、h(@problems)となっています。したがって、@problems の内容にたとえばJavaScriptが紛れ込んでいると、ユーザーの環境でそれが実行されてしまいます。@problemsはモデルProblemで表されるDBテーブルから抽出されています。ほとんどのDBテーブルの値は、何らかの外部入力(多くの場合はフォームなどのユーザー入力)を反映していますから、一般論としては、悪意あるユーザーによってそこに邪悪なコードが紛れ込まれることになる可能性が否定できません。もし現在のアプリの仕様としてその可能性がゼロであれば、現時点ではセキュリティホールにはなりませんね。ただし、仮に現在そうなっていても、一般論として、将来のこのRailsアプリの保守修正においてそうなる可能性を完全否定は難しい、あるいはそれを保証するのは相応の手間です。だから、最初から「安全に」プログラミングしておくことが、推奨されます。端的には、全てリジェクトして、絶対に安全と確証を持てるものだけを通すスタイルです。その一つの例がこの回答でした。)

現実には、想定している状況次第で、もっとスマートに書けるでしょう。たとえば、入力文字列の普通の改行コードはすべて<br>に変換する、と仮定できるならば、もっとスマートに書けるでしょう。
質問者が想定している詳しい状況がわからないので、上の例は汎用的に使えるように書いたものです。

投稿2021/11/28 11:56

編集2021/11/29 16:47