Rails 5 erb无法转义html

Question

在Rails 5.2.3 erb模板中：

<% input = "<script>alert('XSS')</script>" %>
<p><%= input %></p>

显示的是<script>alert('XSS')</script>，而不是＆gt。等

不是应该用来防止反射的XSS攻击吗？如果从params [：input]

中检索输入，则会出现同样的问题

原始在html中输出：

Answer 1

需要查看源ctrl + u如Gabor建议