我正在为Flask和SQLAlchemy构建一个管理,我想通过使用render_template将不同输入的HTML传递给我的视图。模板框架似乎自动转义HTML,因此所有<"'>字符都转换为HTML实体。我如何禁用它,以使HTML正确呈现?
当前回答
若要在呈现值时关闭自动转义,请使用|安全过滤器。
{{ something|safe }}
只对您信任的数据执行此操作,因为呈现不受信任的数据而不转义是跨站点脚本漏洞。
其他回答
当你有很多不需要转义的变量时,你可以使用autoescape重写块:
{% autoescape false %}
{{ something }}
{{ something_else }}
<b>{{ something_important }}</b>
{% endautoescape %}
从Jinja文档部分HTML转义:
当启用自动转义时,默认情况下所有内容都会被转义 除了显式标记为安全的值。它们可以是 由应用程序或模板中使用|保险箱标记 过滤器。
例子:
<div class="info">
{{data.email_content|safe}}
</div>
MarkupSafe提供了Jinja的自动转义行为。您可以导入Markup并使用它从代码中声明一个HTML安全值:
from markupsafe import Markup
value = Markup('<strong>The HTML String</strong>')
把它传递给模板,你不必对它使用|安全过滤器。
为了特别处理换行符,我尝试了许多选项,最后选择了这个:
{% set list1 = data.split('\n') %}
{% for item in list1 %}
{{ item }}
{% if not loop.last %}
<br/>
{% endif %}
{% endfor %}
这种方法的优点是它与自动转义兼容,使一切都保持良好和安全。它还可以与过滤器结合使用,比如urlize。
当然,这与Helge的答案相似,但不需要宏(而是依赖于Jinja内置的split函数),也没有在最后一项后添加不必要的<br/>。
若要在呈现值时关闭自动转义,请使用|安全过滤器。
{{ something|safe }}
只对您信任的数据执行此操作,因为呈现不受信任的数据而不转义是跨站点脚本漏洞。
推荐文章
- 如何在Python中进行热编码?
- 如何嵌入HTML到IPython输出?
- 在Python生成器上使用“send”函数的目的是什么?
- 是否可以将已编译的.pyc文件反编译为.py文件?
- Django模型表单对象的自动创建日期
- 在Python中包装长行
- 如何计算两个时间串之间的时间间隔
- 我如何才能找到一个Python函数的参数的数量?
- 您可以使用生成器函数来做什么?
- 将Python诗歌与Docker集成
- 提取和保存视频帧
- 使用请求包时出现SSL InsecurePlatform错误
- 如何检索Pandas数据帧中的列数?
- except:和except的区别:
- 错误:“字典更新序列元素#0的长度为1;2是必需的”