在Django中使用「escape」標籤是否是一個很好的安全模式？

Question

the security chapter的The Django Book，它表示我必須始終使用模板標記{% escape %}以保護我的網站免受跨站點腳本攻擊。

真的有必要把逃生標籤放在每一個模板字符串上嗎？有沒有辦法在應用程序級別指定它？

Answer 1

該版本的Django書籍在1.0出來之前寫得很好，而且已經過時了。所有模板內容現在都已自動轉換了一段時間。

Answer 2

在django中自動完成。要關閉它，你必須使用autoescape標籤。我不知道從什麼時候開始，但至少從1.1版開始。

{% autoescape off %} 
    safe stuff 
{% endautoscape %}