我们如何防止 FastAPI 中的 html 注入？

Question

我们正在使用名为 FastAPI 的 python 框架开发 REST API。 html 注入代码安全测试失败。 他们在 post payload 中发送一些 html 标签代码，我们将其插入数据库并在 GET 响应中发送相同的代码。 在 FastAPI 中处理请求时，有什么方法可以防止这种 HTML 注入。

Answer 1

是的。 如果您不明确说明，任何框架都不会神奇地改变您获得的内容。 （想象一下，如果它是一个 REST API，用于记录来自内部系统的 HTML 片段，用于在另一个端点呈现 web 页面：你需要按原样使用 HTML）

这只是在将输入数据放入数据库之前调用转义 function 的问题。

Python 的标准库html.escape function 在这种情况下就足够了。

您的问题中没有代码，而且我根本不了解 FASTAPI - 但是如果它在不经过您编写的任何代码的情况下将有效负载放入数据库中，那么您应该自定义它并放入此调用以预处理您的数据，或添加将为您执行此操作的触发阶段（即事件订阅者）。