cgi 不能访问外部资源，cannot create directory ==>超级安全的selinux

### ERB模板中 `<%= ssn %>` 的意义及作用 在 Ruby 编程语言中，ERB（Embedded RuBy）是一种用于嵌入 Ruby 代码到其他文件中的工具，通常用来生成动态 HTML 页面或其他类型的文档。`<%= ssn %>` 是 ERB 模板语法的一部分，表示将变量 `ssn` 的值插入到最终生成的结果中。 #### 1. `<%= ... %>` 的功能 `<%= ... %>` 表达式的具体作用是从 Ruby 中获取指定表达式的值并将其输出到结果字符串中[^1]。这意味着当模板被解析时，`<%= ssn %>` 将会被替换为变量 `ssn` 的当前值。 以下是该语法的一个简单例子： ```ruby require 'erb' template = "<p>您的社保号是: <%= ssn %></p>" data = { ssn: "123-45-6789" } result = ERB.new(template).result(binding) puts result ``` 运行上述代码后，输出将是： ```html <p>您的社保号是: 123-45-6789</p> ``` 在这个例子中，`<%= ssn %>` 被替换成哈希表 `data` 中键 `ssn` 对应的值 `"123-45-6789"`。 #### 2. 变量插值的作用 通过使用 `<%= ... %>` 插值方式，可以实现数据与视图分离的设计模式。开发者可以在后台逻辑中定义好所需的数据结构，在前端模板中仅负责展示这些数据的内容。这种方式不仅提高了程序可维护性和扩展性，还增强了团队协作效率。 需要注意的是，如果试图访问未初始化或者不存在的局部变量，则会引发错误或返回 nil 值，这取决于具体的上下文环境设置。 #### 3. 安全注意事项 由于直接显示用户输入可能带来安全风险（如跨站脚本攻击 XSS），因此在实际应用过程中应当对敏感字段采取适当的安全措施，比如转义特殊字符等操作来防止恶意注入行为的发生。 ```ruby # 使用 CGI.escapeHTML 方法进行简单的 HTML 转义处理 require 'cgi' safe_ssn = CGI.escapeHTML(ssn) template = "<p>经过安全性转换后的社保号码:<%= safe_ssn %></p>" ``` 这样即使用户的输入包含了潜在危险的标签或属性也能有效规避大部分常见威胁。 ---