django中模板的html自动转意方法
作者：南窗客斯黄 发布时间：2023-06-28 15:33:49
一、需求来源：
如果用户在文本框中填了一段<script>alert(xxx);</script>代码，然后我们还保存在了数据库中，下次模板加载数据的时候，将这段代码显示在浏览器，将会弹出一个警告框。因此，这是XSS（跨域脚本）攻击的一种方式，我们肯定不能允许这种事件发生，因此django默认给我们启动了自动转意的功能。将这段代码转换成普通的文本进行展示。
二、如何关闭：
你肯定会问既然自动转意可以关闭XSS漏洞为什么需要关闭呢？原因很简单，如果你数据库中保存了一段可信任的HTML代码，那么你肯定想将他插在页面文档中，这时候你肯定不想被当成字符串处理。这时候你就可以针对某些模块进行关闭，django提供了两种方式进行关闭：
对单独的变量，用safe过滤器为单独的变量关闭自动转意，比如：
这个data将会被转意：{{ data }}
这个data不会被转意：{{ data|safe }}
对模板块，可以使用autoescape进行统一管理，他有两个参数off和on分别用来关闭和打开自动转意，比如以下代码关闭一整段代码的自动转意：
{％ autoescape off ％}
name: {{ name }}
age: {{ age }}
{％ endautoescape ％}
以下代码先关闭自动转意再打开自动转意功能：
Auto-escaping is on by default. Hello {{ name }}
{％ autoescape off ％}
This will not be auto-escaped: {{ data }}.
Nor this: {{ other_data }}
{％ autoescape on ％}
Auto-escaping applies again: {{ name }}
{％ endautoescape ％}
{％ endautoescape ％}
注意事项：autoescape标签的作用域不仅可以影响到当前模板还可以通过include标签以及block标签影响到其他的模板。这个一定要切记！
三：过滤器参数里的字符串常量的自动转意：
{{ data|default:"no data" }}
分析以上代码，如果视图函数提供了data数据，则会显示data，如果没有提供，则默认会显示no data。如果你要默认显示带有/,<,",',&也不会进行转意，因此如果你要显示3<1这样带有特殊字符的，将对html文档产生结构上的影响。但是你可以通过3<1这种方式，进行转意输出。
来源：https://blog.csdn.net/nunchakushuang/article/details/52029521
0
投稿猜你喜欢
- js代码：$(".head").change(function() {var val = $(this).val();i
我很久前在YAHOO上扣的代码，兼容性很好，在Windows下的主流浏览器中可以正常运行。大家先不要急着下载代码，你随时都可以下，我们来分- 1 简介今天我要给大家介绍的这个Python库prettymaps非常的有趣，基于它，我们只需要简单的代码就可以对地球上给定坐标和范围的任意
- 定义一个什么都不做的函数>>> def a():... pass...>>> def printHell
- 前言本文将由浅入深详细介绍yield以及generator，包括以下内容：什么generator，生成generator的方法，genera
- 介绍本文主要介绍Python中列表生成式的基本知识和使用生成列表要生成list [1, 2, 3, 4, 5, 6, 7, 8, 9, 10
- 前言本文主要介绍的是关于Django验证码生成与使用的相关内容，分享出来供大家参考学习，下面来一起看看详细的介绍：方法如下：1、基于PIL生
- 本文实例讲述了golang实现sql结果集以json格式输出的方法。分享给大家供大家参考，具体如下：func getJSON(sqlStri
- Yoho, 大家好，又是我哟~ 首先抱歉让大家等了这么多时间。最近实在比较繁忙啦。不过我还是会尽量抽空出来给大家讲点有的没的，欢迎大家继续
- 数据库基本操作在Flask-SQLAlchemy中，插入、修改、删除操作，均由数据库会话管理。会话用db.session表示。在准备把数据写
- asp.net和php哪个更好？在.net之前，微软的是ASP。在微软的大力推广下，其看起来还是很有前途的。但现在，微软想推广asp.net
- 我来讲解属性部分, 这是相当有用的, 可要认真上课.首先,jquery中对html标签属性进行操作的关键词是 attr .没错,就4个字母,
- 其实这篇文章挺早之前就写了，但是由于sf保存方面的bug，所以当时写了一大堆，结果没保存，觉得这个没写完是个不小的遗憾，今天正好有空，就给补
- 1.使用explain语句去查看分析结果 如explain select * from test1 where id=1;会出现：id se
- 以下是我开发时碰到的问题以及心得经验，花了些时间调试，贴出来避免大家少走弯路，如有错误欢迎指正，持续更新ing xml文件尽量以
- pip镜像源在国内如果不使用 VPN 是没办法好好使用 pip 命令安装任何 Python 包的。所以另一个选择就是使用国内各大厂的开源镜像
- 根据国务院文件，5.19-5.21为全国哀悼日，在此期间，全国和各驻外机构下半旗志哀，停止公共娱乐活动，外交部和我国驻外使领馆设立吊唁簿。5
- PHP程序员应该都知道连接MySQL数据库可以使用mysql_pconnect（永久连接）函数，使用数据库永久连接可以提高效率，但是实际应用
- 目录概述针对同一类型问题的多种处理方式一、不使用策略模式二、策略模式UML总结示例概述定义一系列算法，将每个算法封装起来。并让它们能够相互替
- numpy 中 的random模块有多个函数用于生成不同类型的随机数，常见的有 uniform、rand、random、randint、ra
