Есть ли у django редактируемый пользователем язык шаблонов, который безопасен, как у rails жидкость?

Question

Есть ли у django редактируемый пользователем язык шаблонов, который безопасен, как у rails жидкость?

т.е. конечный пользователь не может взломать код шаблона для вывода опасных объектов и взлома веб-сайта.

Answer 1

Если вы используете правильный язык шаблона: да.

См. Теги и фильтры шаблона Django:

• http://docs.djangoproject.com/en/1.2/ref/templates/builtins/#escape
• http://docs.djangoproject.com/en/1.2/ref/templates/builtins/#autoescape
• http://docs.djangoproject.com/en/1.2/ref/templates/builtins/#escapejs

Пример:

{{ evil_userinput }}

Это распечатает вводимые пользователем данные напрямую.

{{ evil_userinput|escape }}

Это исключит все сущности HTML, поэтому невозможно включить опасный код в вашу страницу HTML.

Answer 2

Жидкость произошла из языка шаблонов Django, поэтому ответ - да. Вы можете визуализировать предоставленные пользователем шаблоны и обрабатывать их так, как вы хотите. Безопасность, однако, это то, что разработчики должны беспокоиться. Инструменты шаблонов не защитят вас, если вы хотите, чтобы пользователи стреляли в вас, если вы не очистите и не подтвердите их ввод.

Вот несколько хороших прочтений:

http://www.djangobook.com/en/2.0/chapter04/

http://www.djangobook.com/en/2.0/chapter09/

http://loopj.com/2009/05/23/a-django-developers-views-on-rails/