正在使用“转义”标签作为 Django 中良好的安全模式真的是强制性的吗？

Question

在安全章节中。 com/" rel="nofollow">The Django Book，它说我必须始终使用模板标签 {% escape %} 以保护我的网站免受跨站脚本攻击。

真的有必要在每个模板字符串上放置转义标签吗？有没有办法在应用程序级别指定这一点？

Answer 1

Django 书的那个版本早在 1.0 版本发布之前就已经写好了，而且已经明显过时了。所有模板内容已经自动转义有一段时间了。

Answer 2

在 django 中是自动完成的。要关闭它，您必须使用自动转义标签。我不确定从什么时候开始，但至少从 1.1 版本开始。

{% autoescape off %}
  safe stuff
{% endautoscape %}