使用 Flask/Jinja2 将 HTML 传递到模板

Question

我正在为 Flask 和 SQLAlchemy 构建一个管理员，我想使用 render_template 将不同输入的 HTML 传递到我的视图。模板框架似乎会自动转义 HTML，因此所有 <"'> 字符都会转换为 HTML 实体。如何禁用它以便 HTML 正确呈现？

Answer 1

要在渲染值时关闭自动转义，请使用 |safe 过滤器。

{{ something|safe }}

仅对您信任的数据执行此操作，因为在不转义的情况下呈现不受信任的数据是跨站点脚本漏洞。

Answer 2

MarkupSafe 提供 Jinja 的自动转义行为。您可以导入 Markup 并使用它来声明一个不受代码影响的 HTML 值：

from markupsafe import Markup
value = Markup('<strong>The HTML String</strong>')

将其传递给模板，您不必在其上使用 |safe 过滤器。

Answer 3

来自 Jinja 文档部分 HTML 转义：

启用自动转义后，默认情况下所有内容都会转义
除了明确标记为安全的值。这些都可以是
由应用程序标记或使用 |safe 在模板中标记
过滤。

例子：

<div class="info">
   {{ data.email_content|safe }}
</div>

Answer 4

当你有很多不需要转义的变量时，你可以使用 autoescape 覆盖 块：

{% autoescape false %}
{{ something }}
{{ something_else }}
<b>{{ something_important }}</b>
{% endautoescape %}

Answer 5

为了具体处理换行符，我尝试了多种选择，然后最终解决了这个问题：

{% set list1 = data.split('\n') %}
{% for item in list1 %}
{{ item }}
  {% if not loop.last %}
  <br/>
  {% endif %}
{% endfor %}

这种方法的好处是它与自动转义兼容，让一切都变得美好和安全。它还可以与过滤器结合使用，例如 urlize。

当然，它与 Helge 的答案类似，但不需要宏（而是依赖于 Jinja 的内置 split 函数），也不会添加不必要的
在最后一项之后。

Answer 6

有些人似乎关闭了自动转义，这会带来安全风险来操纵字符串显示。

如果您只想在字符串中插入一些换行符并将换行符转换为
，那么您可以采用 jinja 宏，例如：

{% macro linebreaks_for_string( the_string ) -%}
{% if the_string %}
{% for line in the_string.split('\n') %}
<br />
{{ line }}
{% endfor %}
{% else %}
{{ the_string }}
{% endif %}
{%- endmacro %}

并在您的 <强>模板只需调用它

{{ linebreaks_for_string( my_string_in_a_variable ) }}

Answer 7

在模板中使用 safe 过滤器，然后使用 您视图中的 bleach 库。使用漂白剂，您可以将需要使用的 HTML 标签列入白名单。

据我所知，这是最安全的。我尝试了 safe 过滤器和 Markup 类，这两种方法都允许我执行不需要的 JavaScript。不太安全！