Python'da HTML'den kaçmanın en kolay yolu nedir?

cgi.escape olası bir seçenek gibi görünüyor. İyi çalışıyor mu? Daha iyi kabul edilen bir şey var mı?

cgi.escapeiyidir. Kaçar:

• < için <
• > için >
• & için &

Bu, tüm HTML için yeterlidir.

DÜZENLEME: Ayrıca kaçmak istediğiniz ascii olmayan karakterleriniz varsa, Craig'in dediği gibi farklı bir kodlama kullanan başka bir kodlanmış belgeye dahil etmek için şunu kullanın:

data.encode('ascii', 'xmlcharrefreplace')

Kod çözme unutmayın dataiçin unicodeher ne kodlanmış kodlayan kullanarak, ilk.

Ancak deneyimlerime göre unicode, başlangıçtan itibaren her zaman çalışırsanız bu tür bir kodlama işe yaramaz . Sonunda belge başlığında belirtilen kodlamaya kodlayın ( utf-8maksimum uyumluluk için).

Misal:

>>> cgi.escape(u'<a>bá</a>').encode('ascii', 'xmlcharrefreplace')
'&lt;a&gt;b&#225;&lt;/a&gt;

Ayrıca dikkate değer (teşekkürler Greg) ekstra quoteparametre cgi.escapealır. Olarak ayarlandığında True, cgi.escapeçift ​​tırnak karakterlerinden ( ") kaçar , böylece elde edilen değeri bir XML / HTML özniteliğinde kullanabilirsiniz.

DÜZENLEME: cgi.escape Python 3.2 lehine kaldırıldı unutmayın, html.escapebu quotevarsayılan olarak True dışında aynı yapar .

Python 3.2'de html, ayrılmış karakterleri HTML işaretlemesinden kaçmak için kullanılan yeni bir modül tanıtıldı.

Bir işlevi vardır escape():

>>> import html
>>> html.escape('x > 2 && x < 7 single quote: \' double quote: "')
'x &gt; 2 &amp;&amp; x &lt; 7 single quote: &#x27; double quote: &quot;'

Bir URL'deki HTML'den kaçmak istiyorsanız:

Bu muhtemelen OP'nin istediği DEĞİLDİR (soru, kaçmanın hangi bağlamda kullanılması gerektiğini açıkça belirtmez), ancak Python'un yerel kütüphanesi urllib , bir URL'ye güvenli bir şekilde dahil edilmesi gereken HTML varlıklarından kaçma yöntemine sahiptir.

Aşağıda bir örnek verilmiştir:

#!/usr/bin/python
from urllib import quote

x = '+<>^&'
print quote(x) # prints '%2B%3C%3E%5E%26'

Dokümanları burada bulun

Mükemmel markupsafe paketi de var .

>>> from markupsafe import Markup, escape
>>> escape("<script>alert(document.cookie);</script>")
Markup(u'&lt;script&gt;alert(document.cookie);&lt;/script&gt;')

markupsafePaket de tasarlanmıştır ve muhtemelen çok yönlü ve Pythonic yolu en IMHO, kaçan çünkü yaklaşık gitmek:

1. return ( Markup), unicode'dan türetilen bir sınıftır (ör.isinstance(escape('str'), unicode) == True
2. unicode girişi düzgün şekilde işler
3. Python'da çalışır (2.6, 2.7, 3.3 ve pypy)
4. özel nesne yöntemlerine (örneğin bir __html__özelliği olan nesneler ) ve şablon aşırı yüklemelerine ( __html_format__) saygı duyar .

cgi.escape HTML etiketlerinden ve karakter varlıklarından kaçma anlamında HTML'den kaçmak iyi olmalıdır.

Ancak kodlama sorunlarını da göz önünde bulundurmanız gerekebilir: alıntı yapmak istediğiniz HTML'de belirli bir kodlamada ASCII olmayan karakterler varsa, alıntı yaparken bunları anlamlı bir şekilde temsil ettiğinize de dikkat etmeniz gerekir. Belki onları varlıklara dönüştürebilirsiniz. Aksi takdirde, ASCII olmayan karakterlerin bozulmasını önlemek için "kaynak" HTML ile gömülü sayfa arasında doğru kodlama çevirilerinin yapıldığından emin olmalısınız.

Hiçbir kütüphane, saf python, metni html metnine güvenle kaçar:

text.replace('&', '&amp;').replace('>', '&gt;').replace('<', '&lt;'
        ).encode('ascii', 'xmlcharrefreplace')

cgi.escape Genişletilmiş

Bu sürüm geliştirildi cgi.escape. Ayrıca beyaz alanı ve satır sonlarını da korur. Bir unicodedize döndürür .

def escape_html(text):
    """escape strings for display in HTML"""
    return cgi.escape(text, quote=True).\
           replace(u'\n', u'<br />').\
           replace(u'\t', u'&emsp;').\
           replace(u'  ', u' &nbsp;')

Örneğin

>>> escape_html('<foo>\nfoo\t"bar"')
u'&lt;foo&gt;<br />foo&emsp;&quot;bar&quot;'

En kolay yol değil, ama yine de basit. Cgi.escape modülünden ana fark - &metninizde zaten varsa düzgün çalışacaktır . Yorumlardan gördüğünüz gibi:

cgi.escape sürümü

def escape(s, quote=None):
    '''Replace special characters "&", "<" and ">" to HTML-safe sequences.
    If the optional flag quote is true, the quotation mark character (")
is also translated.'''
    s = s.replace("&", "&amp;") # Must be done first!
    s = s.replace("<", "&lt;")
    s = s.replace(">", "&gt;")
    if quote:
        s = s.replace('"', "&quot;")
    return s

normal ifade sürümü

QUOTE_PATTERN = r"""([&<>"'])(?!(amp|lt|gt|quot|#39);)"""
def escape(word):
    """
    Replaces special characters <>&"' to HTML-safe sequences. 
    With attention to already escaped characters.
    """
    replace_with = {
        '<': '&gt;',
        '>': '&lt;',
        '&': '&amp;',
        '"': '&quot;', # should be escaped in attributes
        "'": '&#39'    # should be escaped in attributes
    }
    quote_pattern = re.compile(QUOTE_PATTERN)
    return re.sub(quote_pattern, lambda x: replace_with[x.group(0)], word)

Python 2.7'deki eski kod için bunu BeautifulSoup4 üzerinden yapabilirsiniz :

>>> bs4.dammit import EntitySubstitution
>>> esub = EntitySubstitution()
>>> esub.substitute_html("r&d")
'r&d'