Jaki jest najprostszy sposób na uniknięcie HTML w Pythonie?

Question

cgi.escape wydaje się być jednym z możliwych wyborów. Czy to działa dobrze? Czy jest coś, co uważa się za lepsze?

Answer 1

cgi.escape jest w porządku. Ucieka:

• < do <
• > do >
• & do &

to wystarczy dla wszystkich HTML.

EDIT: Jeśli masz non-ASCII znaki również chcesz uciec, do włączenia do innego zakodowanego dokumentu, który używa innego kodowania, jak Craig mówi, wystarczy użyć:

data.encode('ascii', 'xmlcharrefreplace') 

Nie zapomnij najpierw rozkodować data na unicode, używając dowolnego kodowania, które zostało zakodowane.

Jednak z mojego doświadczenia wynika, że ​​takie kodowanie jest bezużyteczne, jeśli po prostu pracujesz z unicode przez cały czas od rozpoczęcia. Po prostu zakoduj kodowanie określone w nagłówku dokumentu (utf-8, aby uzyskać maksymalną zgodność).

Przykład:

>>> cgi.escape(u'<a>bá</a>').encode('ascii', 'xmlcharrefreplace') 
'&lt;a&gt;b&#225;&lt;/a&gt; 

Warto również zauważyć (dzięki Greg) jest dodatkowy parametr quotecgi.escape trwa. Dzięki niemu ustawiona na True, cgi.escape powoduje również uniknięcie podwójnego cudzysłowu ("), aby można było użyć wartości wynikowej w atrybucie XML/HTML.

EDIT: Zauważ, że cgi.escape została zaniechana w Pythonie 3.2 na rzecz html.escape, który robi to samo z tym że quote domyślnych true.

Answer 2

cgi.escape powinno być dobre, aby uciec z HTML w ograniczonym sensie ucieczki z tagów HTML i encji znakowych.

Ale może być również konieczne rozważenie problemów z kodowaniem: jeśli kod HTML, który chcesz zacytować, zawiera znaki spoza zestawu ASCII w określonym kodowaniu, musisz również zadbać o to, aby były one rozsądnie reprezentowane podczas cytowania. Być może mógłbyś przekonwertować je na podmioty. W przeciwnym razie należy upewnić się, że wykonywane są odpowiednie tłumaczenia kodowania między "źródłowym" kodem HTML i stroną, na której jest osadzony, aby uniknąć uszkodzenia znaków spoza ASCII.

Answer 3

W Pythonie 3.2 wprowadzono nowy moduł html, który służy do usuwania znaków zastrzeżonych ze znaczników HTML.

Posiada jedną funkcję escape():

>>> import html 
>>> html.escape('x > 2 && x < 7') 
'x &gt; 2 &amp;&amp; x &lt; 7' 

Answer 4

Jeśli chcesz uciec HTML w adresie URL:

to prawdopodobnie nie jest to, co chciał OP (kwestia nie należy wyraźnie wskazać w z którego kontekstu ma korzystać escaping), ale natywna biblioteka Pythona urllib ma metodę unikania encji HTML, które muszą być bezpiecznie zawarte w adresie URL.

Poniższy przykład:

#!/usr/bin/python 
from urllib import quote 

x = '+<>^&' 
print quote(x) # prints '%2B%3C%3E%5E%26' 

Find docs here

Answer 5

cgi.escape przedłużony

Wersja ta poprawia cgi.escape. Zachowuje również białe spacje i znaki nowej linii. Zwraca ciąg znaków unicode.

def escape_html(text): 
    """escape strings for display in HTML""" 
    return cgi.escape(text, quote=True).\ 
      replace(u'\n', u'<br />').\ 
      replace(u'\t', u'&emsp;').\ 
      replace(u' ', u' &nbsp;') 

np

>>> escape_html('<foo>\nfoo\t"bar"') 
u'&lt;foo&gt;<br />foo&emsp;&quot;bar&quot;' 

Answer 6

Via BeautifulSoup4:

>>> bs4.dammit import EntitySubstitution 
>>> esub = EntitySubstitution() 
>>> esub.substitute_html("r&d") 
'r&d' 

Answer 7

Nie najprostszy sposób, ale nadal proste. Główna różnica od modułu cgi.escape - nadal będzie działać poprawnie, jeśli masz już w swoim tekście &. Jak widać z komentarzy do niego:

cgi.escape wersja

def escape(s, quote=None): 
    '''Replace special characters "&", "<" and ">" to HTML-safe sequences. 
    If the optional flag quote is true, the quotation mark character (") 
is also translated.''' 
    s = s.replace("&", "&amp;") # Must be done first! 
    s = s.replace("<", "&lt;") 
    s = s.replace(">", "&gt;") 
    if quote: 
     s = s.replace('"', "&quot;") 
    return s 

regex wersja

QUOTE_PATTERN = r"""([&<>"'])(?!(amp|lt|gt|quot|#39);)""" 
def escape(word): 
    """ 
    Replaces special characters <>&"' to HTML-safe sequences. 
    With attention to already escaped characters. 
    """ 
    replace_with = { 
     '<': '&gt;', 
     '>': '&lt;', 
     '&': '&amp;', 
     '"': '&quot;', # should be escaped in attributes 
     "'": '&#39' # should be escaped in attributes 
    } 
    quote_pattern = re.compile(QUOTE_PATTERN) 
    return re.sub(quote_pattern, lambda x: replace_with[x.group(0)], word) 

Answer 8

Istnieje również doskonałe markupsafe package.

>>> from markupsafe import Markup, escape 
>>> escape("<script>alert(document.cookie);</script>") 
Markup(u'&lt;script&gt;alert(document.cookie);&lt;/script&gt;') 

Pakiet markupsafe jest dobrze zaprojektowane, i prawdopodobnie najbardziej wszechstronny i pythonic droga o ucieczce, IMHO, ponieważ:

1. powrót (Markup) to klasa pochodzi z unicode (czyli isinstance(escape('str'), unicode) == True
2. to poprawnie obsługuje wejście unicode
3. działa w Pythonie (2.6, 2.7, 3.3 i pypy)
4. to respektuje niestandardowe metody obiektów (tj. obiekty o właściwościach __html__) i przeciążenia szablonów (__html_format__).