html 模板转义,Django 2.1.7 模板 - HTML转义

相关篇章

参考文献

HTML转义

模板对上下文传递的字符串进行输出时，会对以下字符自动转义。

小于号< 转换为 <

大于号> 转换为 >

单引号' 转换为 '

双引号" 转换为 "

与符号& 转换为 &

示例

1)打开assetinfo/views.py文件，创建视图html_escape。

def html_escape(request):

context={'content':'

hello world

'}

return render(request,'assetinfo/html_escape.html',context)

2)打开assetinfo/urls.py文件，配置url。

urlpatterns = [

# ex:/assetinfo/html_escape

path('html_escape', views.html_escape),

]

3)在templates/assetinfo/目录下创建html_escape.html。

Title

自动转义：{{content}}

可以从源码中看到 < 和 > 都被转义为了 < > 。

关闭转义

过滤器escape可以实现对变量的html转义，默认模板就会转义，一般省略。

{{t1|escape}}

过滤器safe：禁用转义，告诉模板这个变量是安全的，可以解释执行。

{{data|safe}}

1)修改templates/assetinfo/html_escape.html代码如下。

Title

自动转义：{{content}}

---

过滤器safe关闭转义：{{content|safe}}

刷新浏览器后效果如下图：

可以看到，关闭了转义之后，正常显示了h1标题。一般为了避免js攻击，都是禁用的。

这里关闭转义是一句句通过safe过滤器来编写，能不能直接给一段html关闭转义呢？

标签autoescape：设置一段代码都禁用转义，接受on、off参数。

{%autoescape off%}

...

{%endautoescape%}

1)修改templates/assetinfo/html_escape.html代码如下。

Title

自动转义：{{content}}

---

过滤器safe关闭转义：{{content|safe}}

---

标签autoescape关闭转义：

{% autoescape off %}

{{ content }}

{{ content }}

{{ content }}

{% endautoescape %}

刷新浏览器后效果如下图：

字符串字面值

对于在模板中硬编码的html字符串，不会转义。

1)修改templates/assetinfo/html_escape.html代码如下：

Title

自动转义：{{content}}

---

过滤器safe关闭转义：{{content|safe}}

---

标签autoescape关闭转义：

{% autoescape off %}

{{ content }}

{{ content }}

{{ content }}

{% endautoescape %}

---

模板硬编码不转义：{{data|default:'hello'}}

2)刷新浏览器后效果如下图：

如果希望出现转义的效果，则需要手动编码转义。

1)修改templates/booktest/html_escape.html代码如下：

---

模板硬编码手动转义：{{data|default:"<b>123</b>"}}

2)刷新浏览器后效果如下图：