在Django框架中编写Context处理器的方法


Posted in Python onJuly 20, 2015

写Context处理器的一些建议

编写处理器的一些建议:

    使每个context处理器完成尽可能小的功能。 使用多个处理器是很容易的,所以你可以根据逻辑块来分解功能以便将来复用。

    要注意 TEMPLATE_CONTEXT_PROCESSORS 里的context processor 将会在基于这个settings.py的每个 模板中有效,所以变量的命名不要和模板的变量冲突。 变量名是大小写敏感的,所以processor的变量全用大写是个不错的主意。

    不论它们存放在哪个物理路径下,只要在你的Python搜索路径中,你就可以在 TEMPLATE_CONTEXT_PROCESSORS 设置里指向它们。 建议你把它们放在应用或者工程目录下名为 context_processors.py 的文件里。

html自动转意

从模板生成html的时候,总是有一个风险——变量包了含会影响结果html的字符。 例如,考虑这个模板片段:

Hello, {{ name }}.

一开始,这看起来是显示用户名的一个无害的途径,但是考虑如果用户输入如下的名字将会发生什么:

<script>alert('hello')</script>

用这个用户名,模板将被渲染成:

Hello, <script>alert('hello')</script>

这意味着浏览器将弹出JavaScript警告框!

类似的,如果用户名包含小于符号,就像这样:

用户名

那样的话模板结果被翻译成这样:

Hello, <b>username

页面的剩余部分变成了粗体!

显然,用户提交的数据不应该被盲目信任,直接插入到你的页面中。因为一个潜在的恶意的用户能够利用这类漏洞做坏事。 这类漏洞称为被跨域脚本 (XSS) 攻击。 关于安全的更多内容,请看20章

为了避免这个问题,你有两个选择:

    一是你可以确保每一个不被信任的变量都被escape过滤器处理一遍,把潜在有害的html字符转换为无害的。 这是最初几年Django的默认方案,但是这样做的问题是它把责任推给你(开发者、模版作者)自己,来确保把所有东西转意。 很容易就忘记转意数据。

    二是,你可以利用Django的自动html转意。 这一章的剩余部分描述自动转意是如何工作的。

在django里默认情况下,每一个模板自动转意每一个变量标签的输出。 尤其是这五个字符。

  •     ``\ ``
  •     System Message: WARNING/2 (<string>, line 491); backlink
  •     Inline literal start-string without end-string.
  •     > 被转换为>
  •     '(单引号)被转换为'
  •     "(双引号)被转换为"
  •     & is converted to &

另外,我强调一下这个行为默认是开启的。 如果你正在使用django的模板系统,那么你是被保护的。
如何关闭它

如果你不想数据被自动转意,在每一站点级别、每一模板级别或者每一变量级别你都有几种方法来关闭它。

为什么要关闭它? 因为有时候模板变量包含了一些原始html数据,在这种情况下我们不想它们的内容被转意。 例如,你可能在数据库里存储了一段被信任的html代码,并且你想直接把它嵌入到你的模板里。 或者,你可能正在使用Django的模板系统生成非html文本,比如一封e-mail。
对于单独的变量

用safe过滤器为单独的变量关闭自动转意:

This will be escaped: {{ data }}
This will not be escaped: {{ data|safe }}

你可以把safe当做safe from further escaping的简写,或者当做可以被直接译成HTML的内容。在这个例子里,如果数据包含'',那么输出会变成:

This will be escaped: <b>
This will not be escaped: <b>

对于模板块

为了控制模板的自动转意,用标签autoescape来包装整个模板(或者模板中常用的部分),就像这样:

{% autoescape off %}
 Hello {{ name }}
{% endautoescape %}

autoescape 标签有两个参数on和off 有时,你可能想阻止一部分自动转意,对另一部分自动转意。 这是一个模板的例子:

Auto-escaping is on by default. Hello {{ name }}

{% autoescape off %}
 This will not be auto-escaped: {{ data }}.

 Nor this: {{ other_data }}
 {% autoescape on %}
 Auto-escaping applies again: {{ name }}
 {% endautoescape %}
{% endautoescape %}

auto-escaping 标签的作用域不仅可以影响到当前模板还可以通过include标签作用到其他标签,就像block标签一样。 例如:

# base.html

{% autoescape off %}
<h1>{% block title %}{% endblock %}</h1>
{% block content %}
{% endblock %}
{% endautoescape %}

# child.html

{% extends "base.html" %}
{% block title %}This & that{% endblock %}
{% block content %}{{ greeting }}{% endblock %}

由于在base模板中自动转意被关闭,所以在child模板中自动转意也会关闭.因此,在下面一段HTML被提交时,变量greeting的值就为字符串Hello!

<h1>This & that</h1>
<b>Hello!</b>

备注

通常,模板作者没必要为自动转意担心. 基于Pyhton的开发者(编写VIEWS视图和自定义过滤器)只需要考虑哪些数据不需要被转意,适时的标记数据,就可以让它们在模板中工作。

如果你正在编写一个模板而不知道是否要关闭自动转意,那就为所有需要转意的变量添加一个escape过滤器。 当自动转意开启时,使用escape过滤器似乎会两次转意数据,但其实没有任何危险。因为escape过滤器不作用于被转意过的变量。

Python 相关文章推荐
python网络编程学习笔记(一)
Jun 09 Python
Python xlwt设置excel单元格字体及格式
Apr 18 Python
Python cookbook(数据结构与算法)根据字段将记录分组操作示例
Mar 19 Python
Python2包含中文报错的解决方法
Jul 09 Python
python处理两种分隔符的数据集方法
Dec 12 Python
tensorflow之并行读入数据详解
Feb 05 Python
如何解决pycharm调试报错的问题
Aug 06 Python
Python -m参数原理及使用方法解析
Aug 21 Python
pycharm中选中一个单词替换所有重复单词的实现方法
Nov 17 Python
详解pycharm的python包opencv(cv2)无代码提示问题的解决
Jan 29 Python
PyTorch的Debug指南
May 07 Python
Python matplotlib绘制条形统计图 处理多个实验多组观测值
Apr 21 Python
详解Django框架中用context来解析模板的方法
Jul 20 #Python
Django中URLconf和include()的协同工作方法
Jul 20 #Python
在Python的Django框架中包装视图函数
Jul 20 #Python
Django中URL视图函数的一些高级概念介绍
Jul 20 #Python
Python的Django框架中从url中捕捉文本的方法
Jul 20 #Python
Django框架中处理URLconf中特定的URL的方法
Jul 20 #Python
在Django中创建URLconf相关的通用视图的方法
Jul 20 #Python
You might like
利用文件属性结合Session实现在线人数统计
2006/10/09 PHP
php str_pad 函数使用详解
2009/01/13 PHP
smarty中js的调用方法示例
2014/10/27 PHP
php实现约瑟夫问题的方法小结
2015/03/23 PHP
PHP静态成员变量
2017/02/14 PHP
PHP使用栈解决约瑟夫环问题算法示例
2017/08/27 PHP
详解php伪造Referer请求反盗链资源
2019/01/24 PHP
jQuery如何实现点击页面获得当前点击元素的id或其他信息
2014/01/09 Javascript
AngularJS中取消对HTML片段转义的方法例子
2015/01/04 Javascript
JS实现新建文件夹功能
2017/06/17 Javascript
详解Vue 动态组件与全局事件绑定总结
2018/11/11 Javascript
highCharts提示框中显示当前时间的方法
2019/01/18 Javascript
巧妙运用v-model实现父子组件传值的方法示例
2019/04/07 Javascript
vue 限制input只能输入正数的操作
2020/08/05 Javascript
JS实现购物车基本功能
2020/11/08 Javascript
基于VUE实现简单的学生信息管理系统
2021/01/13 Vue.js
[01:48]2018DOTA2亚洲邀请赛主赛事第二日五佳镜头 VG完美团战逆转TNC
2018/04/05 DOTA
用Python实现协同过滤的教程
2015/04/08 Python
Python编程中对super函数的正确理解和用法解析
2016/07/02 Python
浅谈python对象数据的读写权限
2016/09/12 Python
详解MySQL数据类型int(M)中M的含义
2016/11/20 Python
python爬虫爬取快手视频多线程下载功能
2018/02/28 Python
Python中函数参数匹配模型详解
2019/06/09 Python
python logging模块的使用总结
2019/07/09 Python
Python创建临时文件和文件夹
2020/08/05 Python
您的网上新华书店:文轩网
2016/08/24 全球购物
美国汽车轮胎和轮毂销售网站:Tire Rack
2018/01/11 全球购物
技校毕业生自荐书
2014/05/23 职场文书
干部作风建设年活动剖析材料
2014/10/23 职场文书
离婚起诉书范本
2015/05/18 职场文书
创业计划书之酒厂
2019/10/14 职场文书
python Polars库的使用简介
2021/04/21 Python
超详细Python解释器新手安装教程
2021/05/10 Python
golang实现一个简单的websocket聊天室功能
2021/10/05 Golang
Pygame Time时间控制的具体使用详解
2021/11/17 Python
OpenCV实现反阈值二值化
2021/11/17 Java/Android