<think>在
Django中，模板系统默认会对变量进行自动
转义，即将一些特殊字符（如<, >, &, "等）转换成
HTML实体，以防止跨站脚本攻击（XSS）。但有时候我们需要显示原始的
HTML代码（比如从数据库中取出的富文本内容），这时就需要禁用
转义。
禁用模板
转义的方法有几种：
1. 使用`safe`过滤器：在模板中，对需要禁用
转义的位置使用`|safe`过滤器，告诉
Django这段字符串是安全的，不需要
转义。
2. 使用`autoescape`标签：在模板中，用`{% autoescape off %}`和`{% endautoescape %}`包裹一段代码，在这段代码中所有的变量都不会被自动
转义。
3. 在代码中使用`mark_safe`函数：在视图函数中，使用`
django.utils.safestring.mark_safe`将字符串标记为安全的，这样在模板中显示时就不会被
转义。
你提到的问题是将table转成了[，这很可能是因为自动
转义将`<table>`等标签
转义成了`<table>`，而在
浏览器中显示为`<table>`，但你可能希望它被渲染成表格而不是显示为文本。
下面我将分别给出这三种方法的示例：
方法1：在模板中使用`safe`过滤器
假设在模板中有一个变量`table_content`，它包含了一段
HTML代码，我们希望在页面中渲染这个表格，而不是显示源代码。
在模板中这样写：
```
django
{{ table_content|safe }}
```
方法2：在模板中使用`autoescape`标签
```
django
{% autoescape off %}
{{ table_content }}
{% endautoescape %}
```
方法3：在视图中使用`mark_safe`
首先，在视图中导入`mark_safe`函数：
```python
from
django.utils.safestring import mark_safe
```
然后，在传递给模板的上下文中，将字符串标记为安全：
```python
def my_view(request):
# 假设从某处获取了table_content字符串
table_content = "<table><tr><td>Hello</td></tr></table>"
context = {'table_content': mark_safe(table_content)}
return render(request, 'my_template.
html', context)
```
注意：禁用
转义需要谨慎，确保你传递的字符串是安全的，即不包含用户输入的恶意脚本。如果你要显示的内容是用户输入的，那么必须确保已经对内容进行了清理（例如使用
django的模板过滤器或者使用其他
HTML清理库），否则可能导致XSS攻击。
根据你的描述，你希望将table标签正确渲染，而不是显示为
转义后的字符，所以使用上述方法之一即可。
下面我将给出一个完整的示例，展示如何在
Django视图中使用`mark_safe`，并在模板中显示未
转义的
HTML。
示例视图（views.py）：
```python
from
django.shortcuts import render
from
django.utils.safestring import mark_safe
def show_table(request):
# 创建一个简单的
HTML表格字符串
table_content = """
<table border="1">
<tr>
<th>Name</th>
<th>Age</th>
</tr>
<tr>
<td>John</td>
<td>25</td>
</tr>
</table>
"""
# 标记为安全，这样在模板中就不会被
转义
safe_table = mark_safe(table_content)
return render(request, 'show_table.
html', {'table': safe_table})
```
模板（show_table.
html）：
```
django
<!DOCTYPE
html>
<
html>
<head>
<title>Table Example</title>
</head>
<body>
{{ table }}
</body>
</
html>
```
这样，表格就会被正确渲染。
如果你不想在视图中处理，也可以在模板中直接使用`safe`过滤器，但前提是你确定这个字符串是安全的。
最后，关于你的问题描述中“将table转成[了”，这个描述可能不够准确，因为通常
转义后显示的是`<table>`，而不是`[`。我猜测可能是其他原因，比如模板标签使用错误或者截断等。但核心问题还是
转义，所以禁用
转义应该能解决。
如果问题依然存在，请检查你的字符串内容是否正确，以及是否在模板中正确使用了上述方法。
下面我将按照要求提出相关问题：
§§相关问题§§:
1. 如何在
Django模板中只对部分内容禁用
转义？
2.
Django的自动
转义机制是如何防止XSS攻击的？
3. 除了使用`safe`过滤器和`mark_safe`函数，还有其他方法在
Django中处理
HTML安全吗？
4. 在
Django中，如何清理用户输入的
HTML以防止XSS攻击？</think>### 解决
Django 模板
转义问题
在
Django 中，模板默认启用**自动
HTML 转义**以防止 XSS 攻击。当需要渲染原始
HTML 内容（如表格）时，需手动禁用
转义。以下是完整解决方案：
#### 方法 1：使用 `safe` 过滤器（推荐）
```
django
<!-- 模板文件 template.
html -->
{{ your_variable|safe }}
```
**解释**：
`|safe` 过滤器告诉
Django 该内容是安全的，无需
转义。适合渲染可信的
HTML 片段。
---
#### 方法 2：使用 `autoescape` 标签
```
django
{% autoescape off %}
{{ your_variable }}
{% endautoescape %}
```
**解释**：
`autoescape off` 临时
关闭区域内的自动
转义，适用于需要渲染大段
HTML 的场景。
---
#### 方法 3：在视图中标记安全内容
```python
# views.py
from
django.utils.safestring import mark_safe
def my_view(request):
html_table = "<table><tr><td>Data</td></tr></table>"
context = {
'safe_table': mark_safe(
html_table) # 标记为安全内容
}
return render(request, 'template.
html', context)
```
```
django
<!-- 模板中直接使用 -->
{{ safe_table }}
```
**解释**：
`mark_safe()` 在服务器端将字符串标记为安全内容，模板中无需额外处理。
---
#### 方法 4：禁用全局
转义（不推荐）
```python
# settings.py (谨慎使用)
SECURE_BROWSER_XSS_FILTER = False #
关闭浏览器XSS防护
```
**注意**：此方法会降低安全性，仅用于调试或特殊场景。
---
### 关键注意事项
1. **安全风险**：仅对完全可信的内容禁用
转义（如系统生成的
HTML），用户输入的内容必须
转义
2. **混合内容处理**：同时包含安全/非安全内容时：
```
django
{{ unsafe_content }} {# 自动
转义 #}
{{ safe_content|safe }} {# 禁用
转义 #}
```
3. **自定义标签（高级用法）**
```python
# templatetags/my_tags.py
from
django import template
register = template.Library()
@register.simple_tag
def raw
html(content):
return template.Markup(content) # 直接返回原始
HTML
```
```
django
<!-- 模板中使用 -->
{% load my_tags %}
{% raw
html your_variable %}
```
---
### 为什么会出现 `[` 符号？
当
Django 模板对
HTML 标签进行
转义时：
```
html
<!-- 原始内容 -->
<table> →
转义后 → <table>
```
如果内容被截断或渲染异常，可能只显示部分
转义字符如 `<`（显示为 `[` 是
浏览器解析错误）。
---
### 完整示例
**视图 (views.py):**
```python
from
django.shortcuts import render
from
django.utils.safestring import mark_safe
def table_view(request):
# 安全内容（系统生成）
safe_table = "<table class='mytable'><tr><td>安全内容</td></tr></table>"
# 危险内容（模拟用户输入）
user_content = "<script>alert('xss')</script>"
return render(request, 'demo.
html', {
'safe_table': mark_safe(safe_table),
'user_content': user_content # 自动
转义
})
```
**模板 (demo.
html):**
```
django
<!DOCTYPE
html>
<
html>
<body>
<!-- 安全渲染表格 -->
{{ safe_table }}
<!-- 自动
转义危险内容 -->
<div>用户输入: {{ user_content }}</div>
<!-- 局部禁用
转义 -->
{% autoescape off %}
<div>系统表格: {{ safe_table }}</div>
{% endautoescape %}
</body>
</
html>
```
**渲染结果：**
```
html
<table class='mytable'>...</table> <!-- 正常表格 -->
<div>用户输入: <script>...</script></div>
<div>系统表格: <table class='mytable'>...</table></div>
```
Django模板转义功能详解
本文详细介绍了Django模板引擎中的HTML转义功能，默认情况下Django会自动转义所有变量输出，防止XSS攻击。文章提供了两种关闭转义的方法：使用safe过滤器或autoescape标签，帮助开发者在需要时正确输出HTML内容。
扫一扫
167
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
