flask html 不转义,Flask/Jinja2 HTML转义的最佳实践

您可能希望使用autoescape扩展名启用自动筛选。来自the docs：env = Environment(autoescape=guess_autoescape,

loader=PackageLoader('mypackage'),

extensions=['jinja2.ext.autoescape'])

这会带来一些性能开销，但经验告诉我们，非常很容易忘记逃避一个变量，这给了我们一个XSS(甚至像eBay这样的大型网站也成为了受害者)。在

这也回答了你的问题，“应该逃出什么？”。在更大的应用程序中，通常不容易确定哪些变量可以直接(或间接！)受用户影响。此外，转义不仅仅是一种安全特性，因为固定字符串如This is a & a string也需要对

您仍然可以使用safe过滤器打印HTML，即my_string|safe。在

编辑：回答您的问题：Would it be overkill to escape even the userstring or similar things?

如果我的用户名是alert('boo!')怎么办？或者是&fancy&？我想你可以通过在注册过程中禁止使用某些字符来解决这个问题，但是你确定没有办法绕过这个问题吗？如果我在我的用户名中填写\x26怎么办？或者，如果你能用其他方法绕过支票呢？如果(将来)你想允许这样的字符，或者将来你连接到一个允许这些字符的外部登录服务(facebook、google、github)怎么办？在

是的，有一个(小)性能开销，但它更安全，更容易编程。像Python&Jinja这样的环境的要点是以牺牲性能为代价优化程序员的生产力：)Some webapplications with a database are administrated with tools like phmyadmin (which some folks forget to remove or protect). With this scenario a hacker could manipulate data inside the database without touching the application itself. Would this worst case and its damage reduced by escaping everything (see 1.)

是的。这显然是一场灾难。但是，如果攻击者获得了对您数据库的完全访问权限，那么他/她可能不需要为XSS攻击操心，因为所有数据都已经在他/她的指尖。

然而，有一种不那么恶意的方法会出错，例如，管理员手动创建(或编辑)一个带有需要转义字符的用户。在