在Django的TextField中禁用HTML轉義

Question

當我寫入模型的TextField時，如何關閉Django的自動HTML轉義？

Answer 1

剛使用django的safe過濾器。在您的模板，你會做這樣的事情：

{{ instance.my_text_field|safe }} 

Answer 2

一種方式做到這一點是把一個函數模型將返回標記爲安全數據：

from django.utils.safestring import mark_safe 

class MyModel(models.Model): 
    my_textfield = models.TextField() 

    def display_my_safefield(self): 
     return mark_safe(self.my_textfield) 

然後在模板中，你將不得不使用：

{{ instance.display_my_safefield }} 

Answer 3

我認爲更好的方式來做到這一點是因爲@Daniel瓦薩洛描述。

爲什麼？

因爲這樣一來，你可以在你想顯示沒有逃逸，特別是防止交叉站點腳本（XSS ）的HTML代碼做一些安全操作。

例如，您可以檢查my_textfield是否包含腳本標記。
如果是這樣，將該實例標記爲惡意並返回轉義版本的my_textfield（正常的Django行爲）。
否則，請使用mark_safe返回標記爲安全的HTML代碼。

這裏：

from django.utils.safestring import mark_safe 

class MyModel(models.Model): 
    my_textfield = models.TextField() 
    is_malisious = models.BooleanField(default=False) 

    def display_my_safefield(self): 
     if '<script>' in self.my_textfield: 
      self.is_malicious = True 
      self.save() 
      return self.my_textfield 
     return mark_safe(self.my_textfield) 

而這一切不需要任何遷移到數據庫。

替代做法

我認爲你可以通過覆蓋模型的save()方法，以及包括檢查，並針對其內部惡意內容的任何其他必要的操作做到這一點的安全操作。然後，如果您確保保存的內容安全，則可以使用@bjunix解決方案。