django中模板的html自动转意方法

脚本专栏 2024/11/7 佚名

3 2 1

圆月山庄资源网 Design By www.vgjia.com

一、需求来源：

如果用户在文本框中填了一段<script>alert(xxx);</script>代码，然后我们还保存在了数据库中，下次模板加载数据的时候，将这段代码显示在浏览器，将会弹出一个警告框。因此，这是XSS（跨域脚本）攻击的一种方式，我们肯定不能允许这种事件发生，因此django默认给我们启动了自动转意的功能。将这段代码转换成普通的文本进行展示。

二、如何关闭：

你肯定会问既然自动转意可以关闭XSS漏洞为什么需要关闭呢？原因很简单，如果你数据库中保存了一段可信任的HTML代码，那么你肯定想将他插在页面文档中，这时候你肯定不想被当成字符串处理。这时候你就可以针对某些模块进行关闭，django提供了两种方式进行关闭：

对单独的变量，用safe过滤器为单独的变量关闭自动转意，比如：

这个data将会被转意：{{ data }}
这个data不会被转意：{{ data|safe }}

对模板块，可以使用autoescape进行统一管理，他有两个参数off和on分别用来关闭和打开自动转意，比如以下代码关闭一整段代码的自动转意：

{% autoescape off %}
 name: {{ name }}
 age: {{ age }}
{% endautoescape %}

以下代码先关闭自动转意再打开自动转意功能：

Auto-escaping is on by default. Hello {{ name }}
{% autoescape off %}
 This will not be auto-escaped: {{ data }}.
 Nor this: {{ other_data }}
 {% autoescape on %}
  Auto-escaping applies again: {{ name }}
 {% endautoescape %}
{% endautoescape %}

注意事项：autoescape标签的作用域不仅可以影响到当前模板还可以通过include标签以及block标签影响到其他的模板。这个一定要切记！

三：过滤器参数里的字符串常量的自动转意：

{{ data|default:"no data" }}

分析以上代码，如果视图函数提供了data数据，则会显示data，如果没有提供，则默认会显示no data。如果你要默认显示带有/,<,",',&也不会进行转意，因此如果你要显示3<1这样带有特殊字符的，将对html文档产生结构上的影响。但是你可以通过3<1这种方式，进行转意输出。

以上这篇django中模板的html自动转意方法就是小编分享给大家的全部内容了，希望能给大家一个参考，也希望大家多多支持。

django,html转义

标签：

django,html转义

圆月山庄资源网 Design By www.vgjia.com

广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站文章均来自网站采集或用户投稿，网站不提供任何软件下载或自行开发的软件！如有用户或公司发现本站内容信息存在侵权行为，请邮件告知！ 858582#qq.com

圆月山庄资源网 Design By www.vgjia.com

评论“django中模板的html自动转意方法”

暂无评论...

P70系列延期，华为新旗舰将在下月发布

3月20日消息，近期博主@数码闲聊站透露，原定三月份发布的华为新旗舰P70系列延期发布，预计4月份上市。

而博主@定焦数码爆料，华为的P70系列在定位上已经超过了Mate60，成为了重要的旗舰系列之一。它肩负着重返影像领域顶尖的使命。那么这次P70会带来哪些令人惊艳的创新呢？
根据目前爆料的消息来看，华为P70系列将推出三个版本，其中P70和P70 Pro采用了三角形的摄像头模组设计，而P70 Art则采用了与上一代P60 Art相似的不规则形状设计。这样的外观是否好看见仁见智，但辨识度绝对拉满。

更新日志

2024年11月07日

2024年11月07日