Rails 5 erb无法逃脱html

Question

在Rails 5.2.3 erb模板中：

<% input = "<script>alert('XSS')</script>" %>
<p><%= input %></p>

显示<script>alert('XSS')</script>而不是＆gt ..等等

不是<％= ...％>应该用来防止反射的XSS攻击吗？ 如果从params [：input]中检索输入，则会出现同样的问题

原始文件在html中输出：

Answer 1

需要查看源ctrl + u 如Gabor建议的