Django REST文字列エスケープ

Question

Django Rest Frameworkを使用して開発されたREST APIがあります。 POSTリクエスト（データベースに格納される前）のデータを文字列でエスケープしなければならないのか、DRFはすでにそれをしているのだろうかと思います。 私はDjangoがいくつかのautoescapingをしていることは知っていますが、それがDRFの場合も同様です。

Answer 1

ユーザー入力をエスケープするは、XSS攻撃に対して1つの優れた防御策を提供します。通常は、レンダリングの時点で行われ、データが公開される時点では行われません。たとえば、Djangoのサーバー側のテンプレートでは、ORMではなくテンプレートで処理されます。これにより、開発者はニーズに基づいてデータをどのようにレンダリングするかを選択できます（一部のデータはマークダウンすることがあります）。

彼らは生のHTMLをレンダリングしたい場合、いくつかのクライアント側のフレームワークを見てみると、彼らデフォルトでは、すべてのエスケープ出力、および力の開発者が明示的に宣言するためには：

• が反応：SetDangerouslyHTML
• 角度2：[innerHTML]
• ヴュー：v-html

私がAPIになく、APIの消費者にこれを強制しようとしていないお勧めします。