不轉換字符的轉義標簽

Question

我正在使用jinja2來安全地呈現來自 Web 聯系表單的電子郵件消息模板。 問題是字符 &、<、>、' 和 " 被轉換為 HTML 安全序列。所以

這就是所有的人！

變成

That's all folks!

我想刪除任何 HTML 標簽以防止沒有任何字符編碼的XSS 。 這在jinja2中可能嗎？

注意：striptags實用程序也會轉換字符。

Answer 1

我不認為那是可能的。 您將如何處理諸如That's only true when x<y and x>0 。 <和>之間的部分是消息的一部分，但可以解釋為（borked）HTML 標記。

由瀏覽器來閱讀That's all folks! 並通過解碼字符正確顯示它。