Manejo de JSON en plantilla JS / ERB en Rails 3

Usando html_escape o rawsolo te dejará vulnerable a XSS.

En su lugar, defina una versión sensible del ayudante json_escape (también conocido como j):

module ActionView::Base
  def json_escape(s)
    result = s.to_s.gsub('/', '\/')
    s.html_safe? ? result.html_safe : result
  end

  alias j json_escape
end

Úsalo así: {[14]]}

<script>
  var Accounts = new Backbone.Collection;
  Accounts.reset(<%=j @accounts.to_json.html_safe %>);
  var Projects = new Backbone.Collection;
  Projects.reset(<%=j @projects.to_json(:collaborators => true).html_safe %>);
</script>

Ver este post para más detalles.

Tenga en cuenta que hay un conflicto de nombres entre j con alias a json_escape en ERB::Util y j con alias a escape_javascript en ActionView::Helpers::JavaScriptHelper. Espero que el alias de JavaScriptHelper cambiar el nombre a js.

Para devolver json tienes que escribir tu render en el controlador de la siguiente manera:

render :json => @object

Y el .to_json se llamará automáticamente.

Si quieres incluir algunas relaciones, puedes hacer lo siguiente:

render :json => @post.to_json(:include => [:comments, :authors])

No estoy seguro de si funcionaría usar un erb para renderizar tu json.

Puede llamar a render en su controlador, pero eso será un problema si necesita posiblemente renderizar más de unos pocos parciales para la inserción posterior del dom por el controlador. Necesitaba establecer múltiples fragmentos html en un hash, y he sido capaz de devolver erb que básicamente utiliza hash.to_json.html_safe como neutrino sugiere anteriormente y me permite renderizar múltiples parciales en el proceso.

Solo se necesita to_json.html_safe:

> `'<script>'.to_json`
=> "\"\\u003cscript\\u003e\""

Parche para hacer que to_json responda a html_safe? y devuelva true automáticamente:

# just use .to_json instead of .to_json.html_safe
ActiveSupport::JSON.class_eval do
  class << self
    def encode_with_html_safe *args
      self.encode_without_html_safe(*args).html_safe
    end
    alias_method_chain :encode, :html_safe
  end
end