python - 文字を変換せずにタグをエスケープする

Question

jinja2を使用して、Web連絡フォームからの電子メールメッセージのテンプレートを安全にレンダリングしています。問題は、文字＆、<、>、'、および"がHTMLセーフシーケンスに変換されることです。

それはすべての人々です！

になります

That's all folks!

HTMLタグを削除して、文字エンコードなしでXSSを防止したいと思います。jinja2でそれは可能ですか？

注：striptagsユーティリティも文字を変換します。

Answer 1

それは不可能だと思います。などのメッセージをどのように処理しますかThat's only true when x<y and x>0。<との間の部分>はメッセージの一部ですが、（中断された）HTMLタグとして解釈される可能性があります。

That's all folks!文字をデコードして正しく読み取り、表示するのはブラウザ次第です。