我什么时候应该在 Django 的模板系统中使用 escape 和 safe ？

Question

如果我有一个人们发表评论的框，然后我像这样显示该评论......我应该逃避吗？

{{ c.title }}

Answer 1

事实上，这取决于。 Django 的模板引擎会自动转义，因此您实际上不需要转义。

如果你像 {{c.title|safe}} 这样添加模板过滤器“safe”，那么你确实需要担心 html 注入之类的事情，因为“safe”将字符串标记为这样，这意味着它不会被逃脱。

还有一个 {% autoescape on %}...{% endautoescape %} 模板标记，如果需要，可以将其中的“on”更改为“off”。默认情况下它是打开的并且不需要标签。

其他模板引擎默认情况下可能不会转义，Jinja2就是其中之一。

Answer 2

HTML 自动转义默认处于启用状态，因此在大多数情况下您不需要手动转义，但不是全部！

将变量的内容转储到 HTML 元素中是可以的：

<p>{{ variable }}</p>

Django 会自动转义字符 <、>、&、< code>" 和 '，这就是这里所需要的。

将变量转储到属性内也是可以的，因为 " 和 '< /code> 都已转义，但请确保记住包含引号，因为空格不会转义：

<span class="{{ variable }}">...</span> <!-- Good -->
<span class={{ variable }}>...</span>   <!-- Bad -->

如果您想在内联 Javascript 中使用字符串，则必须使用 escapejs 过滤器，并且不要'不要忘记引号。这可以防止从 Javascript 变量的引号中转义，也可以防止使用 从

<script>
   var value = "{{ variable|escapejs }}";
</script>

Answer 3

是的！如果他们输入 作为标题会怎样？

Django 自动转义使这变得更容易。

Answer 4

django 模板中默认启用自动转义，因此您不需要使用转义。当您想要关闭它并让模板渲染系统知道您的日期以未转义的形式是安全的时，可以使用安全。有关详细信息，请参阅 django 文档：

• 自动 HTML 转义