Jinja: Autoescaping standardmäßig deaktiviert ist eine gefährliche Standardeinstellung

Jinja ist nicht nur für HTML, sondern eine universelle Template-Engine. Ich denke, die meisten Leute verwenden Jinja in Flask, das standardmäßig Autoescape für HTML-Vorlagen aktiviert. Wenn Sie eine Template-Engine in Ihr eigenes Framework integrieren, sollten Sie die Dokumentation zur sicheren Verwendung lesen.

Trotzdem denke ich, dass es ein guter Vorschlag ist, in den Dokumenten sehr klar zu sein, dass Sie beim Generieren von HTML wahrscheinlich Autoescape verwenden sollten.

Ich würde davon ausgehen, dass die meisten großen Frameworks dies richtig machen (mehr Augen, weniger Fehler usw.), aber es gibt auch viele kleinere Projekte, die Jinja manuell integrieren, die diesen Fehler machen.

Und um ehrlich zu sein, Jinjas Dokumentation zu diesem Thema ist wirklich schlecht. Folgendes sehen Sie zuerst, wenn Sie Jinjas Dokumentation öffnen:

Jinja2 ist eine moderne und designerfreundliche Templating-Sprache für Python, die den Vorlagen von Django nachempfunden ist. Es ist schnell, weit verbreitet und sicher mit der optionalen Umgebung für die Ausführung von Vorlagen in einer Sandbox:

"nach Djangos Vorlagen modelliert" und "sicher" könnte vermuten lassen, dass sie über Sicherheitsfunktionen von Djangos Vorlagen wie Autoescaping verfügt.

Dann ein Beispiel, das HTML ist. Und gleich danach in der Liste der Funktionen:

leistungsstarkes automatisches HTML-Escape-System zur XSS-Prävention

Was nicht erwähnt, dass es optional und standardmäßig nicht aktiviert ist.

Auf der Dokumentationsseite "Grundlegende API-Verwendung" wird die automatische Escape-Funktion nicht angezeigt, aber auch kein HTML, also denke ich, dass das in Ordnung ist. Aber wenn Sie dann auf die API-Seite "Grundlagen" gehen :

from jinja2 import Environment, PackageLoader
env = Environment(loader=PackageLoader('yourapplication', 'templates'))
template = env.get_template('mytemplate.html')
print template.render(the='variables', go='here')

Das erste Beispiel ist anfällig für triviale XSSes. Die Leute haben Recht, verwirrt zu sein.

Klingt nach einem guten Kandidaten für einen Pull Request :)

Wir können das jetzt nicht ausschalten, ohne den Code aller zu knacken. Ich freue mich jedoch, die Dokumente entsprechend zu aktualisieren. Ich werde dies als Wontfix schließen, aber fühlen Sie sich frei, eine PR für Dokumentationsaktualisierungen zu öffnen.