Экранировать строки для JavaScript с помощью Jinja2?

Столкнулся с похожей проблемой в прошлом году. Не уверен, что вы используете бутылку, но мое решение выглядело примерно так.

import json

def escapejs(val):
    return json.dumps(str(val)) # *but see [Important Note] below to be safe

@app.route('/foo')
def foo():
    return bottle.jinja2_template('foo', template_settings={'filters': {'escapejs': escapejs}})

(Я обернул template_settings dict во вспомогательную функцию, так как использовал ее везде, но в этом примере я сделал ее простой.)

К сожалению, это не так просто, как встроенный фильтр jinja2, но я смог жить с ним счастливо, особенно учитывая, что мне нужно было добавить несколько других пользовательских фильтров.

Важное примечание. Спасибо @medmunds за его проницательный комментарий ниже, напоминающий нам, что json.dumps не является XSS-безопасным. IOW, вы бы не хотели использовать его на рабочем сервере с выходом в Интернет. Рекомендуется написать более безопасную процедуру выхода из json. (или украсть django - извините, OP, я знаю, что вы надеялись избежать этого) и вызовите это вместо использования json.dumps.

Jinja2 имеет хороший фильтр tojson. Если вы сделаете json из строки, он сгенерирует строку, заключенную в двойные кавычки "". Вы можете безопасно использовать его в javascript. И вам не нужно ставить кавычки самостоятельно.

$("#mydiv").append({{ html_string|tojson }});

Это фильтр escapejs, основанный на фильтре Django, который я написал для использования в шаблонах Jinja2:

_js_escapes = {
        '\\': '\\u005C',
        '\'': '\\u0027',
        '"': '\\u0022',
        '>': '\\u003E',
        '<': '\\u003C',
        '&': '\\u0026',
        '=': '\\u003D',
        '-': '\\u002D',
        ';': '\\u003B',
        u'\u2028': '\\u2028',
        u'\u2029': '\\u2029'
}
# Escape every ASCII character with a value less than 32.
_js_escapes.update(('%c' % z, '\\u%04X' % z) for z in xrange(32))
def jinja2_escapejs_filter(value):
        retval = []
        for letter in value:
                if _js_escapes.has_key(letter):
                        retval.append(_js_escapes[letter])
                else:
                        retval.append(letter)

        return jinja2.Markup("".join(retval))
JINJA_ENVIRONMENT.filters['escapejs'] = jinja2_escapejs_filter

Пример безопасного использования в шаблоне:

<script type="text/javascript">
<!--
var variableName = "{{ variableName | escapejs }}";
…
//-->
</script>

Когда variableName является str или unicode.

Я только что исследовал эту проблему, мое решение - определить фильтр:

from flask import Flask, Markup
app = Flask(__name__)
app.jinja_env.filters['json'] = lambda v: Markup(json.dumps(v))

и в шаблоне:

<script>
var myvar = {{myvar|json}} ;
</script>

У этого есть приятная функция, заключающаяся в том, что myvar может быть чем угодно, что может быть сериализовано JSON.

На основе @tometzky вот моя версия Python 3:

_js_escapes = {
        '\\': '\\u005C',
        '\'': '\\u0027',
        '"': '\\u0022',
        '>': '\\u003E',
        '<': '\\u003C',
        '&': '\\u0026',
        '=': '\\u003D',
        '-': '\\u002D',
        ';': '\\u003B',
        u'\u2028': '\\u2028',
        u'\u2029': '\\u2029'
}
# Escape every ASCII character with a value less than 32.
_js_escapes.update(('%c' % z, '\\u%04X' % z) for z in range(32))

@register.filter
def escapejs(value):
    return jinja2.Markup("".join(_js_escapes.get(l, l) for l in value))

Использование точно такое же.

Вы также можете использовать autoescape из jinja2. Так, например, вы можете добавить автоэкранирование в свою среду jinja2 в Python:

JINJA_ENVIRONMENT = jinja2.Environment(
    loader=jinja2.FileSystemLoader(os.path.dirname(__file__)),
    autoescape=True)

В качестве альтернативы вы можете использовать расширение Autoescape, добавленное в Jinja 2.4, чтобы иметь больший контроль над тем, где используется автоматическое экранирование в HTML. Подробнее об этом здесь и пример (в Google App Engine) здесь.

Питон:

JINJA_ENVIRONMENT = jinja2.Environment(
    loader=jinja2.FileSystemLoader(os.path.dirname(__file__)),
    extensions=['jinja2.ext.autoescape'])

HTML:

{% autoescape true %}
    <html>
        <body>
            {{ IWillBeEscaped }}
        </body>
    </html>
{% endautoescape %}