Django对字符串进行自动HTML转义，如在模板中输出如下值：

视图代码：
def index(request):return render(request, 'temtest/index2.html',{'t1': '<h1>hello</h1>'})
模板代码：
{{t1}}

显示效果如下图：

会被自动转义的字符

html转义，就是将包含的html标签输出，而不被解释执行，原因是当显示用户提交字符串时，可能包含一些攻击性的代码，如js脚本
Django会将如下字符自动转义：

< 会转换为&lt;> 会转换为&gt;' (单引号) 会转换为'" (双引号)会转换为 &quot;& 会转换为 &amp;

当显示不被信任的变量时使用escape过滤器，一般省略，因为Django自动转义

{{t1|escape}}

关闭转义

对于变量使用safe过滤器

{{ data|safe }}

对于代码块使用autoescape标签

{ % autoescape off %}
{{ body }}
{ % endautoescape %}

标签autoescape接受on或者off参数
自动转义标签在base模板中关闭，在child模板中也是关闭的

字符串字面值

手动转义

{ { data|default:"<b>123</b>" }}

应写为

{ { data|default:"&lt;b&gt;123&lt;/b&gt;" }}

csrf

全称Cross Site Request Forgery，跨站请求伪造
某些恶意网站上包含链接、表单按钮或者JavaScript，它们会利用登录过的用户在浏览器中的认证信息试图在你的网站上完成某些操作，这就是跨站攻击
演示csrf如下
创建视图csrf1用于展示表单，csrf2用于接收post请求

def csrf1(request):return render(request,'booktest/csrf1.html')
def csrf2(request):uname=request.POST['uname']return render(request,'booktest/csrf2.html',{'uname':uname})

配置url

url(r'^csrf1/$', views.csrf1),
url(r'^csrf2/$', views.csrf2),

创建模板csrf1.html用于展示表单

<html>
<head><title>Title</title>
</head>
<body>
<form method="post" action="/crsf2/"><input name="uname"><br><input type="submit" value="提交"/>
</form>
</body>
</html>

创建模板csrf2用于展示接收的结果

<html>
<head><title>Title</title>
</head>
<body>
{{ uname }}
</body>
</html>

在浏览器中访问，查看效果，报错如下：

将settings.py中的中间件代码'django.middleware.csrf.CsrfViewMiddleware'注释
查看csrf1的源代码，复制，在自己的网站内建一个html文件，粘贴源码，访问查看效果

防csrf的使用

在django的模板中，提供了防止跨站攻击的方法，使用步骤如下：
step1：在settings.py中启用'django.middleware.csrf.CsrfViewMiddleware'中间件，此项在创建项目时，默认被启用
step2：在csrf1.html中添加标签

<form>
{% csrf_token %}
...
</form>

step3：测试刚才的两个请求，发现跨站的请求被拒绝了，效果如下图

取消保护

如果某些视图不需要保护，可以使用装饰器csrf_exempt，模板中也不需要写标签，修改csrf2的视图如下

from django.views.decorators.csrf import csrf_exempt@csrf_exempt
def csrf2(request):uname=request.POST['uname']return render(request,'booktest/csrf2.html',{'uname':uname})

运行上面的两个请求，发现都可以请求

保护原理

加入标签后，可以查看源代码，发现多了如下代码

<input type='hidden' name='csrfmiddlewaretoken' value='nGjAB3Md9ZSb4NmG1sXDolPmh3bR2g59' />

在浏览器的调试工具中，通过network标签可以查看cookie信息
本站中自动添加了cookie信息，如下图

查看跨站的信息，并没有cookie信息，即使加入上面的隐藏域代码，发现又可以访问了
结论：django的csrf不是完全的安全
当提交请求时，中间件'django.middleware.csrf.CsrfViewMiddleware'会对提交的cookie及隐藏域的内容进行验证，如果失败则返回403错误

Django 模板HTML转义和CSRF4.3相关推荐

Django 模板4.1
模板介绍作为Web框架,Django提供了模板,可以很便利的动态生成HTML 模版系统致力于表达外观,而不是程序逻辑模板的设计实现了业务逻辑(view)与显示内容(template)的分离,一个视 ...
Django模板过滤器详解
Django 模板过滤器也是我们在以后基于 Django 网站开发过程中会经常遇到的,如显示格式的转换.判断处理等.以下是 Django 过滤器列表,希望对为大家的开发带来一些方便. 一.形式:小写 ...
django模板过滤器
django模板&过滤器声明:部分信息来源这篇博客https://www.cnblogs.com/maple-shaw/articles/9333821.html MVC: 模型(model ...
Django模板语言（译）
原文地址:https://docs.djangoproject.com/zh-hans/2.1/ref/templates/language/ 翻译日期:2019年3月8日-2019年3月9日 by: ...
Django 模板语言标签
前言:django的模板语法基本和flask的jinja2基本一样.下面比较一下两个模板语法的区别. ------深度变量的查找(万能的句点号) 在 Django 模板中遍历复杂数据结构的关键是句点字 ...
django模板系统（上）
filters 过滤 default 替代作用 filesizeformat 格式化为人类可读 add 给变量加参数 lower 小写 upper 大写 title 标题 ljust 左对齐 rjus ...
了解DJango模板系统
作为一个Web框架,Django需要一个便利的方式来动态地生成HTML,最常见的方式是依赖模板,模板中既包含了所希望HTML输出的静态部分,又有一些语法用来描述如何动态插入这些上下文内容. Djang ...
Django模板语言相关内容
Django模板语言相关内容 Django模板系统官方文档常用语法只需要记两种特殊符号: {{ }}和 {% %} 变量相关的用{{}},逻辑相关的用{%%}. 变量在Django的模板语言 ...
Django 2.0 学习(12)：Django 模板语法
Django 模板语法一.模板只要是在html里面有模板语法就不是html文件了,这样的文件就叫做模板. 二.模板语法模板语法变量:{{ }} 在Django模板中遍历复杂数据结构的关键是句点字 ...

Django 模板HTML转义和CSRF4.3

csrf

Django 模板HTML转义和CSRF4.3相关推荐

最新文章

热门文章