django - 在 Django 中关闭 autoescape 安全吗？

Question

我想在 Django 1.0 中显示一些 HTML模板并为此我一直在做这样的事情:

{% autoescape off %}{{ var.text }}{% endautoescape %}

我只是想知道这有多安全？我是否仍然可以抵御 SQL 注入(inject)和跨站点脚本以及其他类似漏洞？

更新:

此文本将来自用户，那么在 Django 模板中安全显示 HTML 的最佳方式是什么？

Answer 1

自动转义将是对跨站点脚本的保护，而不是 sql 注入(inject)(您需要 make sure your inputs are scrubbed)。关闭自动转义意味着您相信“文本”中的内容，无论它来自何处，都不是恶意的(即，用户应该不可能创建或修改文本中的内容)。如果该假设有效，那么您就可以安全地防止跨站点脚本，否则，这是一个安全漏洞。