Django模板中的自动转义（autoescape）

szial

已于 2023-08-20 15:43:22 修改

阅读量384

点赞数

文章标签： django python

于 2023-08-20 15:04:28 首次发布

本文链接：https://blog.youkuaiyun.com/szial/article/details/132391824

版权

Django模板中的自动转义（autoescape）

Django模板中的自动转义（autoescape）功能能够有效地防止输出的变量内容引发跨站脚本攻击（XSS）。本文将详细介绍这个功能的工作原理和使用方法。

自动转义的工作原理

默认情况下，Django模板的自动转义功能是开启的。这意味着模板中的变量输出内容会被自动转义，例如：

变量值：<script>alert(1)</script>

输出结果：&lt;script&gt;alert(1)&lt;/script&gt;

转义会将特殊字符转换为HTML实体，如将 < 转换为 <，以防止其被作为代码执行。

自动转义发生在变量内容输出之前，但在过滤器处理之后。如果变量已被标记为安全（safe），则不会再次转义。

控制自动转义

您可以通过autoescape标签在模板块级别来控制自动转义，其语法如下：

{% autoescape on/off %}
   变量输出
{% endautoescape %}

示例：

{% autoescape off %}
   {{ var }}  # 不转义
{% endautoescape %}

{% autoescape on %}
   {{ var }}  # 转义
{% endautoescape %}

在Django设置中，您可以全局关闭自动转义：

TEMPLATES = [
    {
        'BACKEND': ...,
        'OPTIONS': {
            'autoescape': False,
        }
    }
]

通常建议保持默认的自动转义开启状态，以防范XSS攻击。

边界情况

自动转义可能会产生一些需要注意的边界情况：

关闭转义后，使用escape过滤器无法再次开启转义
变量的值本身也会影响输出，已包含转义的内容不会再次转义
代码块之外的自动转义会恢复到之前的状态

建议通过测试不同的模板代码来验证自动转义的具体效果。

总结

自动转义可以有效地防止XSS攻击，但需要谨慎使用。

模板语法和变量值都会影响最终的输出
通过测试来验证自动转义的具体效果
根据需要开启/关闭自动转义，不要完全依赖它

让我们来看一个例子：

# 视图传入变量
user_input = "<p><script>alert('Hello')</script></p>"

{% autoescape off %}
# 关闭转义，输出原始值
<p>{{ user_input }}</p> 
{% endautoescape %}

{% autoescape on %}
# 打开转义，但默认行为生效，输出被转义
<p>{{ user_input }}</p>  
{% endautoescape %}

# 没有转义控制，自动转义默认开启
<p>{{ user_input }}</p>

浏览器最终输出：

# 没有转义，执行了script
<script>alert('Hello')</script>

# 转义成实体
<p>&lt;script&gt;alert('Hello')&lt;/script&gt;</p>

# 转义成实体
<p>&lt;script&gt;alert('Hello')&lt;/script&gt;</p>