python - jinja2で危険な無害化された入力をHTMLエスケープするにはどうすればよいですか？

Question

テンプレート内で実行できますか、それともPythonコードで実行する必要がありますか？

da <ngero> u＆scharsを含む可能性のある変数があります。jinja2でエスケープするにはどうすればよいですか？

Answer 1

例えば

{{ user.username|e }}

|eフィルターに通します

Jinja：テンプレートデザイナーのドキュメント->HTMLエスケープ

Answer 2

また、すべてを自動エスケープするように環境に指示することもできます。

e = Environment(loader=fileloader, autoescape=True)

注：jinja1ではこれはauto_escapeです

Answer 3

プログラムでhtmlをエスケープしたい場合は、次のように実行できます（例）。

>>> import jinja2
>>> jinja2.__version__
'2.6'
>>> a
'<script>alert("yy")</script>'
>>> jinja2.escape(a)
Markup(u'&lt;script&gt;alert(&#34;yy&#34;)&lt;/script&gt;')
>>> str(jinja2.escape(a))
'&lt;script&gt;alert(&#34;yy&#34;)&lt;/script&gt;'

Answer 4

Flaskにはtojsonフィルターが組み込まれています。

http://flask.pocoo.org/docs/templating/#standard-filters

Answer 5

文字列チェックを実行して、対応するエスケープ文字に置き換えることができます。

例：string=I am a special character <
次の手順を実行します。

string.replace("<","&lt ;")

コードでは、tと;の間のスペースに注意してください。削除されました。代わりに<を表示するようにフォーマットされるため、ここでこれを排除することはできません：P

次に、jinja2を使用してフォーマットされた文字列を出力します。<がディスプレイに表示されます。