Django的視圖模板標記是否適合最終用戶編輯，如導軌液體模板？

Question

我希望最終用戶能夠在線編輯他們的視圖模板，因此它必須是安全的或「監獄」的，以便只有我明確推送到視圖頁的對象才能被訪問。

即我不想讓最終用戶能夠編寫Python代碼，或找出我的連接字符串信息等等，等等

是Django的針對這種類型的使用意見安全模板標記？

Answer 1

據我所知，Django模板對於這類代碼是安全的。

除了模板中可以執行的簡單循環/分支之外，唯一一種邏輯是註冊爲模板標籤或過濾器的任何類型。 TT或過濾器只能通過後端代碼註冊。

在這裏你可以看到模板標籤和過濾器的列表：你一定要確保設置對象ISN：http://docs.djangoproject.com/en/dev/ref/templates/builtins/?from=olddocs大部分只是對字符串或日期等

乾杯

編輯工作在模板上下文中不可用。

Answer 2

Django模板大部分是安全的，但這是基於您暴露給模板上下文的內容。

最大的問題是將對象暴露給模板，因爲所有方法都被傳遞。對於傳遞給模板和最容易受到攻擊的最常見對象QuerySets尤其如此。

如果您通過從視圖文章模板

articles = Articles.objects.all() 

我可以做到以下幾點

{% for article in articles %} 
    {{ article.delete }} 
{% endfor %}