本日のハマリ

def escape(str)
  str = str.to_s
  str.gsub!(/</, "&lt;")
  str.gsub!(/>/, "&gt;")
  str.gsub!(/
/, "<br>
")
  str.gsub!(/ /, "&nbsp;")
  str
end

引数オブジェクトの内容が変更される罠。