django - 如何在 Django 模板中标记所有变量安全？

Question

我有很多内容是由站点管理员生成的；我最终将“|safe}}”添加到几乎每个模板变量中。这很烦人。

我能否自动将每个变量标记为安全，并在必要时选择使用转义？

Answer 1

可以通过使用 Django 模板来完成 autoescape确定 block 内的自动转义。

如 Django book Chapter 9 上的如何关闭它部分所述(在 Automatic HTML Escaping 部分中查找文本):

If you don’t want data to be auto-escaped, on a per-site, per-template level or per-variable level, you can turn it off in several ways.

这种针对每个站点的方法是有一个基本模板(所有模板都继承自该模板)，它简单地将 {% autoescape off %} 指定为顶部和{% endautoescape %} 在所有上下文 block 的末尾:

The auto-escaping tag passes its effect on to templates that extend the current one as well as templates included via the include tag, just like all block tags.

正如@ChrisPratt 评论的那样:

Never allow user-submitted content to be excluded from auto-escape.