Cách dễ nhất để thoát HTML trong Python là gì?

cgi.escape dường như là một lựa chọn có thể. Nó có hoạt động tốt không? Có một cái gì đó được coi là tốt hơn?

cgi.escapeỔn. Nó trốn thoát:

• < đến <
• > đến >
• & đến &

Thế là đủ cho tất cả HTML.

EDIT: Nếu bạn có ký tự không phải mã ascii, bạn cũng muốn thoát, để đưa vào một tài liệu được mã hóa khác sử dụng mã hóa khác, như Craig nói, chỉ cần sử dụng:

data.encode('ascii', 'xmlcharrefreplace')

Đừng quên để decode datađể unicodeđầu tiên, sử dụng bất cứ mã hóa nó đã được mã hóa.

Tuy nhiên theo kinh nghiệm của tôi, loại mã hóa là vô dụng nếu bạn chỉ làm việc với unicodetất cả thời gian từ đầu. Chỉ cần mã hóa ở cuối mã hóa được chỉ định trong tiêu đề tài liệu ( utf-8để tương thích tối đa).

Thí dụ:

>>> cgi.escape(u'<a>bá</a>').encode('ascii', 'xmlcharrefreplace')
'&lt;a&gt;b&#225;&lt;/a&gt;

Cũng đáng lưu ý (cảm ơn Greg) là quotetham số thêm cgi.escapemất. Với nó được đặt thành True, cgi.escapecũng thoát khỏi ký tự trích dẫn kép ( ") để bạn có thể sử dụng giá trị kết quả trong thuộc tính XML / HTML.

EDIT: Lưu ý rằng cgi.escape đã không được dùng trong Python 3.2 html.escape, điều này cũng tương tự ngoại trừ quotemặc định là True.

Trong Python 3.2, một htmlmô-đun mới đã được giới thiệu, được sử dụng để thoát các ký tự dành riêng khỏi đánh dấu HTML.

Nó có một chức năng escape():

>>> import html
>>> html.escape('x > 2 && x < 7 single quote: \' double quote: "')
'x &gt; 2 &amp;&amp; x &lt; 7 single quote: &#x27; double quote: &quot;'

Nếu bạn muốn thoát HTML trong một URL:

Đây có lẽ KHÔNG phải là điều OP muốn (câu hỏi không chỉ rõ trong bối cảnh thoát được sử dụng trong bối cảnh nào), nhưng urllib của thư viện riêng của Python có một phương pháp để thoát các thực thể HTML cần được đưa vào URL một cách an toàn.

Sau đây là một ví dụ:

#!/usr/bin/python
from urllib import quote

x = '+<>^&'
print quote(x) # prints '%2B%3C%3E%5E%26'

Tìm tài liệu ở đây

Ngoài ra còn có gói markupsafe tuyệt vời .

>>> from markupsafe import Markup, escape
>>> escape("<script>alert(document.cookie);</script>")
Markup(u'&lt;script&gt;alert(document.cookie);&lt;/script&gt;')

Các markupsafegói phần mềm được thiết kế tốt, và có lẽ là hầu hết các linh hoạt và Pythonic cách để đi về thoát, IMHO, bởi vì:

1. return ( Markup) là một lớp có nguồn gốc từ unicode (nghĩa làisinstance(escape('str'), unicode) == True
2. nó xử lý đúng cách đầu vào unicode
3. nó hoạt động trong Python (2.6, 2.7, 3.3 và pypy)
4. nó tôn trọng các phương thức tùy chỉnh của các đối tượng (tức là các đối tượng có thuộc __html__tính) và quá tải mẫu ( __html_format__).

cgi.escape nên thoát HTML theo nghĩa hạn chế thoát các thẻ HTML và các thực thể ký tự.

Nhưng bạn cũng có thể phải xem xét các vấn đề mã hóa: nếu HTML bạn muốn trích dẫn có các ký tự không phải ASCII trong một mã hóa cụ thể, thì bạn cũng phải quan tâm rằng bạn thể hiện những điều đó một cách hợp lý khi trích dẫn. Có lẽ bạn có thể chuyển đổi chúng thành các thực thể. Mặt khác, bạn nên đảm bảo rằng các bản dịch mã hóa chính xác được thực hiện giữa HTML "nguồn" và trang được nhúng vào, để tránh làm hỏng các ký tự không phải ASCII.

Không có thư viện, python thuần, thoát văn bản thành văn bản html một cách an toàn:

text.replace('&', '&amp;').replace('>', '&gt;').replace('<', '&lt;'
        ).encode('ascii', 'xmlcharrefreplace')

cgi.escape đa thế hệ

Phiên bản này được cải thiện cgi.escape. Nó cũng bảo tồn khoảng trắng và dòng mới. Trả về một unicodechuỗi.

def escape_html(text):
    """escape strings for display in HTML"""
    return cgi.escape(text, quote=True).\
           replace(u'\n', u'<br />').\
           replace(u'\t', u'&emsp;').\
           replace(u'  ', u' &nbsp;')

ví dụ

>>> escape_html('<foo>\nfoo\t"bar"')
u'&lt;foo&gt;<br />foo&emsp;&quot;bar&quot;'

Không phải là cách dễ nhất, nhưng vẫn đơn giản. Sự khác biệt chính từ mô-đun cgi.escape - nó vẫn sẽ hoạt động bình thường nếu bạn đã có &trong văn bản của mình. Như bạn thấy từ các bình luận cho nó:

phiên bản cgi.escape

def escape(s, quote=None):
    '''Replace special characters "&", "<" and ">" to HTML-safe sequences.
    If the optional flag quote is true, the quotation mark character (")
is also translated.'''
    s = s.replace("&", "&amp;") # Must be done first!
    s = s.replace("<", "&lt;")
    s = s.replace(">", "&gt;")
    if quote:
        s = s.replace('"', "&quot;")
    return s

phiên bản regex

QUOTE_PATTERN = r"""([&<>"'])(?!(amp|lt|gt|quot|#39);)"""
def escape(word):
    """
    Replaces special characters <>&"' to HTML-safe sequences. 
    With attention to already escaped characters.
    """
    replace_with = {
        '<': '&gt;',
        '>': '&lt;',
        '&': '&amp;',
        '"': '&quot;', # should be escaped in attributes
        "'": '&#39'    # should be escaped in attributes
    }
    quote_pattern = re.compile(QUOTE_PATTERN)
    return re.sub(quote_pattern, lambda x: replace_with[x.group(0)], word)

Đối với mã kế thừa trong Python 2.7, có thể thực hiện thông qua BeautifulSoup4 :

>>> bs4.dammit import EntitySubstitution
>>> esub = EntitySubstitution()
>>> esub.substitute_html("r&d")
'r&d'