在Django框架中编写Context处理器的方法


Posted in Python onJuly 20, 2015

写Context处理器的一些建议

编写处理器的一些建议:

    使每个context处理器完成尽可能小的功能。 使用多个处理器是很容易的,所以你可以根据逻辑块来分解功能以便将来复用。

    要注意 TEMPLATE_CONTEXT_PROCESSORS 里的context processor 将会在基于这个settings.py的每个 模板中有效,所以变量的命名不要和模板的变量冲突。 变量名是大小写敏感的,所以processor的变量全用大写是个不错的主意。

    不论它们存放在哪个物理路径下,只要在你的Python搜索路径中,你就可以在 TEMPLATE_CONTEXT_PROCESSORS 设置里指向它们。 建议你把它们放在应用或者工程目录下名为 context_processors.py 的文件里。

html自动转意

从模板生成html的时候,总是有一个风险——变量包了含会影响结果html的字符。 例如,考虑这个模板片段:

Hello, {{ name }}.

一开始,这看起来是显示用户名的一个无害的途径,但是考虑如果用户输入如下的名字将会发生什么:

<script>alert('hello')</script>

用这个用户名,模板将被渲染成:

Hello, <script>alert('hello')</script>

这意味着浏览器将弹出JavaScript警告框!

类似的,如果用户名包含小于符号,就像这样:

用户名

那样的话模板结果被翻译成这样:

Hello, <b>username

页面的剩余部分变成了粗体!

显然,用户提交的数据不应该被盲目信任,直接插入到你的页面中。因为一个潜在的恶意的用户能够利用这类漏洞做坏事。 这类漏洞称为被跨域脚本 (XSS) 攻击。 关于安全的更多内容,请看20章

为了避免这个问题,你有两个选择:

    一是你可以确保每一个不被信任的变量都被escape过滤器处理一遍,把潜在有害的html字符转换为无害的。 这是最初几年Django的默认方案,但是这样做的问题是它把责任推给你(开发者、模版作者)自己,来确保把所有东西转意。 很容易就忘记转意数据。

    二是,你可以利用Django的自动html转意。 这一章的剩余部分描述自动转意是如何工作的。

在django里默认情况下,每一个模板自动转意每一个变量标签的输出。 尤其是这五个字符。

  •     ``\ ``
  •     System Message: WARNING/2 (<string>, line 491); backlink
  •     Inline literal start-string without end-string.
  •     > 被转换为>
  •     '(单引号)被转换为'
  •     "(双引号)被转换为"
  •     & is converted to &

另外,我强调一下这个行为默认是开启的。 如果你正在使用django的模板系统,那么你是被保护的。
如何关闭它

如果你不想数据被自动转意,在每一站点级别、每一模板级别或者每一变量级别你都有几种方法来关闭它。

为什么要关闭它? 因为有时候模板变量包含了一些原始html数据,在这种情况下我们不想它们的内容被转意。 例如,你可能在数据库里存储了一段被信任的html代码,并且你想直接把它嵌入到你的模板里。 或者,你可能正在使用Django的模板系统生成非html文本,比如一封e-mail。
对于单独的变量

用safe过滤器为单独的变量关闭自动转意:

This will be escaped: {{ data }}
This will not be escaped: {{ data|safe }}

你可以把safe当做safe from further escaping的简写,或者当做可以被直接译成HTML的内容。在这个例子里,如果数据包含'',那么输出会变成:

This will be escaped: <b>
This will not be escaped: <b>

对于模板块

为了控制模板的自动转意,用标签autoescape来包装整个模板(或者模板中常用的部分),就像这样:

{% autoescape off %}
 Hello {{ name }}
{% endautoescape %}

autoescape 标签有两个参数on和off 有时,你可能想阻止一部分自动转意,对另一部分自动转意。 这是一个模板的例子:

Auto-escaping is on by default. Hello {{ name }}

{% autoescape off %}
 This will not be auto-escaped: {{ data }}.

 Nor this: {{ other_data }}
 {% autoescape on %}
 Auto-escaping applies again: {{ name }}
 {% endautoescape %}
{% endautoescape %}

auto-escaping 标签的作用域不仅可以影响到当前模板还可以通过include标签作用到其他标签,就像block标签一样。 例如:

# base.html

{% autoescape off %}
<h1>{% block title %}{% endblock %}</h1>
{% block content %}
{% endblock %}
{% endautoescape %}

# child.html

{% extends "base.html" %}
{% block title %}This & that{% endblock %}
{% block content %}{{ greeting }}{% endblock %}

由于在base模板中自动转意被关闭,所以在child模板中自动转意也会关闭.因此,在下面一段HTML被提交时,变量greeting的值就为字符串Hello!

<h1>This & that</h1>
<b>Hello!</b>

备注

通常,模板作者没必要为自动转意担心. 基于Pyhton的开发者(编写VIEWS视图和自定义过滤器)只需要考虑哪些数据不需要被转意,适时的标记数据,就可以让它们在模板中工作。

如果你正在编写一个模板而不知道是否要关闭自动转意,那就为所有需要转意的变量添加一个escape过滤器。 当自动转意开启时,使用escape过滤器似乎会两次转意数据,但其实没有任何危险。因为escape过滤器不作用于被转意过的变量。

Python 相关文章推荐
跟老齐学Python之眼花缭乱的运算符
Sep 14 Python
解析Python中的变量、引用、拷贝和作用域的问题
Apr 07 Python
详谈Python2.6和Python3.0中对除法操作的异同
Apr 28 Python
Python统计单词出现的次数
Apr 04 Python
python smtplib模块实现发送邮件带附件sendmail
May 22 Python
Python读写zip压缩文件的方法
Aug 29 Python
Python 隐藏输入密码时屏幕回显的实例
Feb 19 Python
Python这样操作能存储100多万行的xlsx文件
Apr 16 Python
python实现的爬取电影下载链接功能示例
Aug 26 Python
从pandas一个单元格的字符串中提取字符串方式
Dec 17 Python
一文轻松掌握python语言命名规范规则
Jun 18 Python
Python import模块的缓存问题解决方案
Jun 02 Python
详解Django框架中用context来解析模板的方法
Jul 20 #Python
Django中URLconf和include()的协同工作方法
Jul 20 #Python
在Python的Django框架中包装视图函数
Jul 20 #Python
Django中URL视图函数的一些高级概念介绍
Jul 20 #Python
Python的Django框架中从url中捕捉文本的方法
Jul 20 #Python
Django框架中处理URLconf中特定的URL的方法
Jul 20 #Python
在Django中创建URLconf相关的通用视图的方法
Jul 20 #Python
You might like
php顺序查找和二分查找示例
2014/03/27 PHP
PHP 读取和编写 XML
2014/11/19 PHP
PHP获取数组长度或某个值出现次数的方法
2015/02/11 PHP
laravel数据库查询结果自动转数组修改实例
2021/02/27 PHP
javascript String 对象
2008/04/25 Javascript
js继承 Base类的源码解析
2008/12/30 Javascript
window.ActiveXObject使用说明
2010/11/08 Javascript
ASP.NET jQuery 实例6 (实现CheckBoxList成员全选或全取消)
2012/01/13 Javascript
JavaScript包装对象使用介绍
2013/08/29 Javascript
js导出table到excel同时兼容FF和IE示例
2013/09/03 Javascript
影响jQuery使用的14个方面
2014/09/01 Javascript
JavaScript分析、压缩工具JavaScript Analyser
2014/12/31 Javascript
《JavaScript DOM 编程艺术》读书笔记之JavaScript 图片库
2015/01/09 Javascript
JQuery中DOM事件合成用法实例分析
2015/06/13 Javascript
javascript动态获取登录时间和在线时长
2016/02/25 Javascript
JS ES6多行字符串与连接字符串的表示方法
2017/04/26 Javascript
jQuery返回定位插件详解
2017/05/15 jQuery
JQuery EasyUI的一些常用组件
2017/07/12 jQuery
用原生 JS 实现 innerHTML 功能实例详解
2019/04/03 Javascript
ES6中let、const的区别及变量的解构赋值操作方法实例分析
2019/10/15 Javascript
Node.js操作MongoDB数据库实例分析
2020/01/19 Javascript
JavaScript十大取整方法实例教程
2020/12/03 Javascript
[47:08]OG vs INfamous 2019国际邀请赛小组赛 BO2 第一场 8.15
2019/08/17 DOTA
[02:28]PWL开团时刻DAY3——Ink Ice与DeMonsTer之间的勾心斗角
2020/11/03 DOTA
Python多线程编程(三):threading.Thread类的重要函数和方法
2015/04/05 Python
Python实现确认字符串是否包含指定字符串的实例
2018/05/02 Python
浅谈Python2、Python3相对路径、绝对路径导入方法
2018/06/22 Python
python如何求解两数的最大公约数
2018/09/27 Python
python中的句柄操作的方法示例
2019/06/20 Python
在python中实现同行输入/接收多个数据的示例
2019/07/20 Python
matplotlib教程——强大的python作图工具库
2020/10/15 Python
荷兰超市:DEEN
2018/03/14 全球购物
个人找工作的自我评价
2013/10/17 职场文书
大学活动邀请函
2014/01/28 职场文书
在职证明格式样本
2015/06/15 职场文书
Redis Lua脚本实现ip限流示例
2022/07/15 Redis