Markupsafe是一個(gè)Python項(xiàng)目，提供了一種使得HTML、XML等對象上下文化無漏洞展示的方法。其功能包括HTML實(shí)體的轉(zhuǎn)義，以及在Jinja2（Flask）等模板引擎中使用Markup對象。
from markupsafe import escape html = '' escaped_html = escape(html) print(escaped_html)
上面的例子中，我們使用escape函數(shù)將包含有JavaScript腳本的html內(nèi)容進(jìn)行了轉(zhuǎn)義，輸出結(jié)果為：
可以看到，函數(shù)將左右尖括號進(jìn)行了HTML實(shí)體化，從而保證了頁面安全性。
@app.route('/') def index(): username = 'Zhang San' return render_template('index.html', name=username)
在index.html模板中，我們可以這樣使用：
Welcome {{ name }}!
但是，如果name對象包含有HTML字符，比如：
username = 'Zhang San'
在HTML頁面中插入后，可以看到：
Welcome Zhang San!
這時(shí)候，我們需要使用Markup對象：
from markupsafe import Markup
username = Markup('Zhang San')
如此，在HTML頁面中插入后，可以看到：
Welcome Zhang San!
可以看到，使用Markup對象能夠使HTML字符在頁面上被正確地展示。
from markupsafe import escape, unescape html = '' escaped_html = escape(html) print(escaped_html) unescaped_html = unescape(escaped_html) print(unescaped_html)
輸出結(jié)果為：
可以看到，unescape函數(shù)能夠?qū)⑥D(zhuǎn)義后的HTML實(shí)體化還原回去。
四、總結(jié)
在Web開發(fā)中，安全性是非常重要的，而Markupsafe正是為了解決HTML字符轉(zhuǎn)義的問題而誕生的。除了escape函數(shù)，還有Markup對象等API，能夠更加靈活地處理HTML字符串。
在實(shí)際開發(fā)中，我們可以將Markupsafe和Flask等模板引擎一起使用，提高Web應(yīng)用的安全性。
京公網(wǎng)安備 11010802030320號