在Django框架中编写Context处理器的方法


Posted in Python onJuly 20, 2015

写Context处理器的一些建议

编写处理器的一些建议:

    使每个context处理器完成尽可能小的功能。 使用多个处理器是很容易的,所以你可以根据逻辑块来分解功能以便将来复用。

    要注意 TEMPLATE_CONTEXT_PROCESSORS 里的context processor 将会在基于这个settings.py的每个 模板中有效,所以变量的命名不要和模板的变量冲突。 变量名是大小写敏感的,所以processor的变量全用大写是个不错的主意。

    不论它们存放在哪个物理路径下,只要在你的Python搜索路径中,你就可以在 TEMPLATE_CONTEXT_PROCESSORS 设置里指向它们。 建议你把它们放在应用或者工程目录下名为 context_processors.py 的文件里。

html自动转意

从模板生成html的时候,总是有一个风险——变量包了含会影响结果html的字符。 例如,考虑这个模板片段:

Hello, {{ name }}.

一开始,这看起来是显示用户名的一个无害的途径,但是考虑如果用户输入如下的名字将会发生什么:

<script>alert('hello')</script>

用这个用户名,模板将被渲染成:

Hello, <script>alert('hello')</script>

这意味着浏览器将弹出JavaScript警告框!

类似的,如果用户名包含小于符号,就像这样:

用户名

那样的话模板结果被翻译成这样:

Hello, <b>username

页面的剩余部分变成了粗体!

显然,用户提交的数据不应该被盲目信任,直接插入到你的页面中。因为一个潜在的恶意的用户能够利用这类漏洞做坏事。 这类漏洞称为被跨域脚本 (XSS) 攻击。 关于安全的更多内容,请看20章

为了避免这个问题,你有两个选择:

    一是你可以确保每一个不被信任的变量都被escape过滤器处理一遍,把潜在有害的html字符转换为无害的。 这是最初几年Django的默认方案,但是这样做的问题是它把责任推给你(开发者、模版作者)自己,来确保把所有东西转意。 很容易就忘记转意数据。

    二是,你可以利用Django的自动html转意。 这一章的剩余部分描述自动转意是如何工作的。

在django里默认情况下,每一个模板自动转意每一个变量标签的输出。 尤其是这五个字符。

  •     ``\ ``
  •     System Message: WARNING/2 (<string>, line 491); backlink
  •     Inline literal start-string without end-string.
  •     > 被转换为>
  •     '(单引号)被转换为'
  •     "(双引号)被转换为"
  •     & is converted to &

另外,我强调一下这个行为默认是开启的。 如果你正在使用django的模板系统,那么你是被保护的。
如何关闭它

如果你不想数据被自动转意,在每一站点级别、每一模板级别或者每一变量级别你都有几种方法来关闭它。

为什么要关闭它? 因为有时候模板变量包含了一些原始html数据,在这种情况下我们不想它们的内容被转意。 例如,你可能在数据库里存储了一段被信任的html代码,并且你想直接把它嵌入到你的模板里。 或者,你可能正在使用Django的模板系统生成非html文本,比如一封e-mail。
对于单独的变量

用safe过滤器为单独的变量关闭自动转意:

This will be escaped: {{ data }}
This will not be escaped: {{ data|safe }}

你可以把safe当做safe from further escaping的简写,或者当做可以被直接译成HTML的内容。在这个例子里,如果数据包含'',那么输出会变成:

This will be escaped: <b>
This will not be escaped: <b>

对于模板块

为了控制模板的自动转意,用标签autoescape来包装整个模板(或者模板中常用的部分),就像这样:

{% autoescape off %}
 Hello {{ name }}
{% endautoescape %}

autoescape 标签有两个参数on和off 有时,你可能想阻止一部分自动转意,对另一部分自动转意。 这是一个模板的例子:

Auto-escaping is on by default. Hello {{ name }}

{% autoescape off %}
 This will not be auto-escaped: {{ data }}.

 Nor this: {{ other_data }}
 {% autoescape on %}
 Auto-escaping applies again: {{ name }}
 {% endautoescape %}
{% endautoescape %}

auto-escaping 标签的作用域不仅可以影响到当前模板还可以通过include标签作用到其他标签,就像block标签一样。 例如:

# base.html

{% autoescape off %}
<h1>{% block title %}{% endblock %}</h1>
{% block content %}
{% endblock %}
{% endautoescape %}

# child.html

{% extends "base.html" %}
{% block title %}This & that{% endblock %}
{% block content %}{{ greeting }}{% endblock %}

由于在base模板中自动转意被关闭,所以在child模板中自动转意也会关闭.因此,在下面一段HTML被提交时,变量greeting的值就为字符串Hello!

<h1>This & that</h1>
<b>Hello!</b>

备注

通常,模板作者没必要为自动转意担心. 基于Pyhton的开发者(编写VIEWS视图和自定义过滤器)只需要考虑哪些数据不需要被转意,适时的标记数据,就可以让它们在模板中工作。

如果你正在编写一个模板而不知道是否要关闭自动转意,那就为所有需要转意的变量添加一个escape过滤器。 当自动转意开启时,使用escape过滤器似乎会两次转意数据,但其实没有任何危险。因为escape过滤器不作用于被转意过的变量。

Python 相关文章推荐
Python切片用法实例教程
Sep 08 Python
python实现可将字符转换成大写的tcp服务器实例
Apr 29 Python
python selenium 获取标签的属性值、内容、状态方法
Jun 22 Python
python re正则匹配网页中图片url地址的方法
Dec 20 Python
python 函数中的内置函数及用法详解
Jul 02 Python
Python如何实现转换URL详解
Jul 02 Python
你还在@微信官方?聊聊Python生成你想要的微信头像
Sep 25 Python
解决python脚本中error: unrecognized arguments: True错误
Apr 20 Python
python实现每天自动签到领积分的示例代码
Aug 18 Python
Pandas的数据过滤实现
Jan 15 Python
python将YUV420P文件转PNG图片格式的两种方法
Jan 22 Python
Python线程池与GIL全局锁实现抽奖小案例
Apr 13 Python
详解Django框架中用context来解析模板的方法
Jul 20 #Python
Django中URLconf和include()的协同工作方法
Jul 20 #Python
在Python的Django框架中包装视图函数
Jul 20 #Python
Django中URL视图函数的一些高级概念介绍
Jul 20 #Python
Python的Django框架中从url中捕捉文本的方法
Jul 20 #Python
Django框架中处理URLconf中特定的URL的方法
Jul 20 #Python
在Django中创建URLconf相关的通用视图的方法
Jul 20 #Python
You might like
PHP和JavaScrip分别获取关联数组的键值示例代码
2013/09/16 PHP
php批量转换文件夹下所有文件编码的函数类
2017/08/06 PHP
PHP+jQuery实现双击修改table表格功能示例
2019/02/21 PHP
Laravel框架控制器,视图及模型操作图文详解
2019/12/04 PHP
document.all还是document.getElementsByName?
2006/07/21 Javascript
Javascript 表单之间的数据传递代码
2008/12/04 Javascript
JavaScript 解析读取XML文档 实例代码
2009/07/07 Javascript
基于jQuery的获取标签名的代码
2012/07/16 Javascript
JavaScript的常见兼容问题及相关解决方法(chrome/IE/firefox)
2013/12/31 Javascript
jquery1.10给新增元素绑定事件的方法
2014/03/06 Javascript
jQuery封装的tab选项卡插件分享
2015/06/16 Javascript
JavaScript File API实现文件上传预览
2016/02/02 Javascript
jQuery实现的可编辑表格完整实例
2016/06/20 Javascript
深入理解jQuery.data() 的实现方式
2016/11/30 Javascript
bootstrap下拉菜单使用方法解析
2017/01/13 Javascript
自带气泡提示的vue校验插件(vue-verify-pop)
2017/04/07 Javascript
使用DataTable插件实现异步加载数据
2017/11/19 Javascript
vue中使用echarts制作圆环图的实例代码
2018/07/27 Javascript
解决Vue在封装了Axios后手动刷新页面拦截器无效的问题
2018/11/08 Javascript
js canvas实现二维码和图片合成的海报
2020/11/19 Javascript
js实现抽奖的两种方法
2020/03/19 Javascript
[01:03:22]LGD vs OG 2018国际邀请赛淘汰赛BO3 第一场 8.25
2018/08/29 DOTA
Python中encode()方法的使用简介
2015/05/18 Python
python爬虫爬取淘宝商品信息(selenum+phontomjs)
2018/02/24 Python
pytorch对可变长度序列的处理方法详解
2018/12/08 Python
Python给定一个句子倒序输出单词以及字母的方法
2018/12/20 Python
python 将视频 通过视频帧转换成时间实例
2020/04/23 Python
web页面录屏实现
2019/02/12 HTML / CSS
End Clothing美国站:英国男士潮牌商城
2018/04/20 全球购物
JAVA程序员面试题
2012/10/03 面试题
教师研修随笔感言
2014/01/23 职场文书
新任教师自我鉴定
2014/02/24 职场文书
幼儿园见习总结
2015/06/23 职场文书
军训心得体会范文(2016最新篇)
2016/01/11 职场文书
Vue实现动态查询规则生成组件
2021/05/27 Vue.js
node.js使用express-fileupload中间件实现文件上传
2021/07/16 Javascript