不转换字符的转义标签

Question

我正在使用jinja2来安全地呈现来自 Web 联系表单的电子邮件消息模板。 问题是字符 &、<、>、' 和 " 被转换为 HTML 安全序列。所以

这就是所有的人！

变成

That's all folks!

我想删除任何 HTML 标签以防止没有任何字符编码的XSS 。 这在jinja2中可能吗？

注意：striptags实用程序也会转换字符。

Answer 1

我不认为那是可能的。 您将如何处理诸如That's only true when x<y and x>0 。 <和>之间的部分是消息的一部分，但可以解释为（borked）HTML 标记。

由浏览器来阅读That's all folks! 并通过解码字符正确显示它。