python - jinja2(Flask)中是否默认自动转义？

Question

我正在研究一些网站中的一些安全错误，想知道 jinja2 是否默认启用自动转义。根据 Jinja 文档( http://jinja.pocoo.org/docs/2.9/faq/#why-is-autoescaping-not-the-default )，它没有，但是当我在新系统上测试该应用程序时，它已启用(我可能不小心这样做了，但不确定。

有人能解释一下吗？

Answer 1

根据flask documentation :

除非定制，Jinja2 由 Flask 配置如下:

autoescaping is enabled for all templates ending in .html, .htm, .xml as well as .xhtml when using render_template().

另外:

autoescaping is enabled for all strings when using render_template_string().

最后:

a template has the ability to opt in/out autoescaping with the {% autoescape %} tag.

因此，虽然 jinja 默认情况下可能不会自动转义，但 flask 默认情况下会启用 Jinja 的自动转义。