jinja2: html escape-переменные

Question

как мне html-escape опасный unsanitized вход в jinja2?

Могу ли я сделать это внутри шаблона или его нужно сделать в коде python?

У меня есть переменная, которая может содержать da <ngero> u & s chars. Как мне избежать этого в jinja2

Answer 1

например.

{{ user.username|e }} 

Pipe его через |e фильтр

Jinija: Template Designer Documentation -> Builtin Filters: Escape

Answer 2

Вы также могли бы сказать окружающую среду в autoescape все:

e = Environment(loader=fileloader, autoescape=True) 

примечание: в jinja1 это auto_escape

Answer 3

Если вы хотите избежать html в лету ур программа, вы можете сделать это следующим образом (пример):

>>> import jinja2 
>>> jinja2.__version__ 
'2.6' 
>>> a 
'<script>alert("yy")</script>' 
>>> jinja2.escape(a) 
Markup(u'&lt;script&gt;alert(&#34;yy&#34;)&lt;/script&gt;') 
>>> str(jinja2.escape(a)) 
'&lt;script&gt;alert(&#34;yy&#34;)&lt;/script&gt;' 

Answer 4

Колба имеет встроенный фильтр tojson:

http://flask.pocoo.org/docs/templating/#standard-filters