WEB - Autoescaping, escaping, escape(转义)

Posted 2020-12-04 Rocinante

定义

1. 参考Flask的文档http://flask.pocoo.org/docs/1.0/templating/#controlling-autoescaping
2. 转义就是将> <这些在html文档中带有特殊意义的符号,转成ascii编码(参考JS的escape()函数).
3. 注意: 不会对 ASCII 字母和数字进行编码，也不会对下面这些 ASCII 标点符号进行编码： * @ - _ + . / 。其他所有的字符都会被转义序列替换。
4. 不进行escaping的话, 可能会导致安全问题, 例如导致XSS(跨站脚本攻击).
5. 有些情况要关闭escaping, 例如Markdown转义HTML, 要将HTML直接插入到页面中. (例如Jinja2中可以用({{ myvariable|safe }})关闭转义). |safe is used to disable autoescaping and mark the variable as safe HTML.