在 Python 中使用 str.format() 时的 HTML 转义替换字段

Question

我正在使用字符串 .format() 函数使用关键字参数格式化我的字符串。我将一些基本对象传递给字符串，并在字符串中使用这些对象的属性。例如：

"Hello, {user.first_name}!".format(user=my_user)

这些字符串可能会在 HTML 电子邮件中使用，因此替换字段应该是 HTML 转义的（使用 django.utils.html.escape）。

格式化字符串时，对字符串替换字段使用转义函数的最佳方法是什么？如果这不可能，那么字符串格式化的适当替代方案是什么？我的字符串存储在数据库中并通过 Django 管理界面进行修改。

Answer 1

好吧，问题是你为什么要使用格式。您不打算将其推入模板吗？我的意思是，如果您转义模板中的某些内容（使用模板标签），您几乎只是通过此转义函数传递一个字符串。

也许这不是您正在寻找的，但您不想这样做吗

"Hello, {user.first_name}!".format(user=django.utils.html.escape(my_user))

？

如果你想逃避所有的争论并且你确信它们会
字符串，

def foo(**kwargs):
    for key,val in kwargs.iteritems():
        kwargs[key] = django.utils.html.escape(val)

    ...

你也可以做一些更疯狂的事情，比如，

def foo(**kwargs):
    kwargs = dict((key, val) for key,val in izip(kwargs.iterkeys(), \
    map(django.utils.htmls.escape, kwargs.itervalues())))

    # OR if you use Python 3
    kwargs = {key:django.utils.htmls.escape(val) for key, val in kwargs.items()}

如果你想让东西变得疯狂！

Answer 2

作为使用 Django 模板之前的临时解决方案，我将 string.Formatter 进行了子类化，如 文档。

import string
from django.utils.html import escape

class EscapingFormatter(string.Formatter):
    def format_field(self, value, format_spec):
        return escape(super(EscapingFormatter, self).format_field(value, format_spec))

formatter = EscapingFormatter()
formatter.format("Hello, {user.first_name}!", user=my_user)

该解决方案也应该在 Django 之外工作（但显然需要替换 escape 函数）。