美文网首页
Django 2.1.7 模板 - HTML转义

Django 2.1.7 模板 - HTML转义

作者: Devops海洋的渔夫 | 来源:发表于2019-06-29 12:23 被阅读0次

    相关篇章

    Django 2.1.7 创建应用模板
    Django 2.1.7 配置公共静态文件、公共模板路径
    Django 2.1.7 模板语言 - 变量、标签、过滤器、自定义过滤器、模板注释
    Django 2.1.7 模板继承

    参考文献

    https://docs.djangoproject.com/zh-hans/2.1/topics/templates/

    HTML转义

    模板对上下文传递的字符串进行输出时,会对以下字符自动转义。

    小于号< 转换为 &lt;
    
    大于号> 转换为 &gt;
    
    单引号' 转换为 &#39;
    
    双引号" 转换为 &quot;
    
    与符号& 转换为 &amp;
    

    示例

    1)打开assetinfo/views.py文件,创建视图html_escape。

    def html_escape(request):
        context={'content':'<h1>hello world</h1>'}
        return render(request,'assetinfo/html_escape.html',context)
    

    2)打开assetinfo/urls.py文件,配置url。

    urlpatterns = [
        # ex:/assetinfo/html_escape
        path('html_escape', views.html_escape),
    ]
    

    3)在templates/assetinfo/目录下创建html_escape.html。

    <!DOCTYPE html>
    <html lang="en">
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
        自动转义:{{content}}
    </body>
    </html>
    

    4)运行服务器,在浏览器中输入如下网址。
    http://127.0.0.1:8000/assetinfo/html_escape

    可以从源码中看到 <> 都被转义为了 &lt; &gt;

    关闭转义

    过滤器escape可以实现对变量的html转义,默认模板就会转义,一般省略。

    {{t1|escape}}
    

    过滤器safe:禁用转义,告诉模板这个变量是安全的,可以解释执行。

    {{data|safe}}
    

    1)修改templates/assetinfo/html_escape.html代码如下。

    <!DOCTYPE html>
    <html lang="en">
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
        自动转义:{{content}}
        <hr>
        过滤器safe关闭转义:{{content|safe}}
    </body>
    </html>
    

    刷新浏览器后效果如下图:

    可以看到,关闭了转义之后,正常显示了h1标题。一般为了避免js攻击,都是禁用的。

    这里关闭转义是一句句通过safe过滤器来编写,能不能直接给一段html关闭转义呢?

    标签autoescape:设置一段代码都禁用转义,接受on、off参数。

    {%autoescape off%}
    ...
    {%endautoescape%}
    

    1)修改templates/assetinfo/html_escape.html代码如下。

    <!DOCTYPE html>
    <html lang="en">
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
        自动转义:{{content}}
        <hr>
        过滤器safe关闭转义:{{content|safe}}
        <hr>
        标签autoescape关闭转义:
        {% autoescape off %}
        {{ content }}
        {{ content }}
        {{ content }}
        {% endautoescape %}
    </body>
    </html>
    

    刷新浏览器后效果如下图:

    字符串字面值

    对于在模板中硬编码的html字符串,不会转义。

    1)修改templates/assetinfo/html_escape.html代码如下:

    <!DOCTYPE html>
    <html lang="en">
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
        自动转义:{{content}}
        <hr>
        过滤器safe关闭转义:{{content|safe}}
        <hr>
        标签autoescape关闭转义:
        {% autoescape off %}
        {{ content }}
        {{ content }}
        {{ content }}
        {% endautoescape %}
        <hr>
        模板硬编码不转义:{{data|default:'<b>hello</b>'}}
    </body>
    </html>
    

    2)刷新浏览器后效果如下图:

    如果希望出现转义的效果,则需要手动编码转义。

    1)修改templates/booktest/html_escape.html代码如下:

        <hr>
        模板硬编码手动转义:{{data|default:"&lt;b&gt;123&lt;/b&gt;"}}
    

    2)刷新浏览器后效果如下图:

    相关文章

      网友评论

          本文标题:Django 2.1.7 模板 - HTML转义

          本文链接:https://www.haomeiwen.com/subject/zioucctx.html