Rails中使用html_safe触发RuboCop安全警告该如何解决？

RuboCop的Rails/OutputSafety规则属于静态代码校验，只会识别代码中是否存在直接调用html_safe/raw()的写法，不会识别运行时的&.安全导航逻辑，所以哪怕你加了空值判断，只要对用户可控的params参数直接标记为安全字符串，就会触发该警告。

• 最推荐：使用sanitize方法过滤危险标签
  如果你确实需要保留用户输入中的合法HTML标签，使用Rails内置的sanitize方法即可，它会自动过滤<script>、<iframe>等风险标签，返回的结果本身就是安全字符串，不会触发RuboCop警告：

content_tag('p', sanitize(params[:text]), class: 'nice-class')

• 无需保留HTML标签时直接省略html_safe
  如果你的业务场景只需要展示纯文本，不需要渲染用户输入的HTML格式，直接去掉html_safe即可，Rails会自动转义所有特殊字符，完全规避XSS风险，也不会触发警告：

content_tag('p', params[:text], class: 'nice-class')

• 确认参数完全可控时局部禁用规则
  如果你100%确认params[:text]的来源绝对可信（比如是系统内部生成、没有用户篡改的可能），可以局部禁用该规则，不要全局关闭避免遗留安全风险：

# rubocop:disable Rails/OutputSafety
content_tag('p', params[:text]&.html_safe, class: 'nice-class')
# rubocop:enable Rails/OutputSafety

不建议无脑忽略该提示，直接对用户可控的输入标记html_safe会存在XSS注入风险，恶意用户可以通过构造带恶意脚本的参数窃取用户信息、执行非法操作，只有在完全确认参数来源安全的前提下，才可以选择忽略或者局部禁用规则。

内容的提问来源于stack exchange，提问作者user16011241