参考 http://d.hatena.ne.jp/n314/20070116/1168936382 http://weblog.metareal.org/2007/09/02/prototype-1-6-0-event-overhaul-release/ http://www.akatsukinishisu.net/itazuragaki/js/bindaseventlistener.html

<%=h @hoge %> だと、けっこう問答無用でエスケープされる。 でも、ある程度のHTMLは入力許したいとき、タグと属性をホワイトリストで指定できた。 <%= sanitize %(<table><tr><td><font id="hoge" style="color:red;">ほげ</font></td></tr></table>), :tags => %w(font), :attributes => %w(class style) %> で表示されるのは <font style="color:red;">ほげ</font> だけ…