安全にユーザーのテンプレート/ビューをレンダリングしますか？

Question

私はテンプレートフィールドを持つモデルを持っています。このテンプレートはHTMLであり、置換される変数があります。このテンプレートはwicked_pdfを使用してPDFに変換されます。

ユーザーが入力して安全に変数置換を行うテンプレートはどうすればよいですか？それをERBテンプレートにすることは、いくつかの巨大なセキュリティホールのために自分自身を設定しているようです。どのような安全な解決方法がありますか？

編集：

ので、例えば、私は2つのフィールド名およびHTMLフィールドを持つ私のテンプレートクラス/モデルを持っています。これはユーザーが編集できるクラスです。テンプレートクラス（会社名、価格など）のHTMLに使用できる特定の変数があります。 HTMLテンプレートシステムを使用したいと思っていますが、これはユーザーが作成したコンテンツなので信頼できません。変数の置換だけが実行されます。

Answer 1

Railsには、そのような動作を防ぐために、表示上の値をエスケープするための2つのヘルパー関数、つまりhが用意されています。 <%は=時間の@ user.name％>

hは、私はより明確にする私の質問を編集した...私はあなたが私を誤解だと思うhtml_escape