如何在 jinja2 中对危险的未经处理的输入进行 html 转义？

Question

我可以在模板内完成还是必须在 python 代码中完成？

我有一个可能包含 dau&s 字符的变量。我如何在jinja2中逃脱它？

Answer 1

例如

{{ user.username|e }}

通过 |e 过滤器进行管道传输

Docs:

• 2.x: Jinja：模板设计器文档 -> HTML 转义
• 3.x：Jinja：模板设计器文档-> HTML 转义

Answer 2

您还可以告诉环境自动转义所有内容：

e = Environment(loader=fileloader, autoescape=True)

注意：在 jinja1 中，这是 auto_escape

Answer 3

如果你想在程序中转义 html，你可以这样做（示例）：

>>> import jinja2
>>> jinja2.__version__
'2.6'
>>> a
'<script>alert("yy")</script>'
>>> jinja2.escape(a)
Markup(u'<script>alert("yy")</script>')
>>> str(jinja2.escape(a))
'<script>alert("yy")</script>'

Answer 4

Flask 有一个内置的 tojson 过滤器：

http://flask .pocoo.org/docs/templated/#standard-filters

Answer 5

您可以进行字符串检查并替换为相应的转义字符。

例如：string=我是特殊字符<
执行以下操作：

string.replace("<","< ;")

请注意，在您的代码中，t 和 ; 之间有空格。已被淘汰。此处无法消除它，因为它将被格式化为显示 <相反 :P

然后使用 jinja2 打印出格式化的字符串。 <<应该出现在您的显示屏上。