Djangoの良いセキュリティパターンとして、本当に「エスケープ」タグを使用していますか？ <a href="http://www.djangobook.com/" rel="nofollow">The Django Book</a>の<a href="http://www.djangobook.com/en/1.0/chapter19/" rel="nofollow">the security chapter</a>で

Question

は、それは私が常にクロスサイトスクリプティングから、私のサイトを保護するためにテンプレートタグ{% escape %}を使用しなければならないと述べています。

は、すべての単一のテンプレート文字列にエスケープタグを置くために、それは本当に必要ですか？これをアプリケーションレベルで指定する方法はありますか？

Answer 1

このバージョンのDjangoブックは、1.0がリリースされる前によく書かれていて、かなり古くなっています。すべてのテンプレートのコンテンツは、今ではかなり長い時間autosecapedされています。

Answer 2

djangoは自動的に行われました。これをオフにするには、autoescapeタグを使用する必要があります。私はいつからか分からないが、少なくとも1.1バージョン以来。

{% autoescape off %} 
    safe stuff 
{% endautoscape %}