Django第九篇-----关于模板的高级话题--上半篇

目录

RequestContext 和上下文处理器

 auth

debug

i18n

media

static

csrf

request

messages

自动转义 HTML

在单个变量中禁用

在模板中的块里禁用

---

RequestContext 和上下文处理器

首先，我们快速回顾一下前面介绍的几个术语：

• 模板是文本文档或普通的 Python 字符串，使用 Django 模板语言标记。模板中有模板标签和变量。
• 模板标签是模板中的一种符号，用于做特定的事情。这样定义相当晦涩。我们来举些例子：模板标签
可以生成内容、用做控制结构（ if 语句或 for 循环）、从数据库中获取内容，或者访问其他模板标
签。模板标签放在 {% 和 %} 之间：

{% if is_logged_in %}
Thanks for logging in!
{% else %}
Please log in.
{% endif %}

• 变量也是模板中的一种符号，用于输出值。变量放在 {{ 和 }} 之间：
My first name is {{ first_name }}. My last name is {{ last_name }}.
• 上下文是传给模板的名值映射（类似于 Python 字典）。
• 模板渲染上下文的过程是把变量所在的位置替换成上下文中的值，并执行所有模板标签。

来看下面两个视图：

from django.template import loader, Context
def view_1(request):
    # ...
    t = loader.get_template('template1.html')
    c = Context({
        'app': 'My app',
        'user': request.user,
        'ip_address': request.META['REMOTE_ADDR'],
        'message': 'I am view 1.'
    })
    return t.render(c
def view_2(request):
    # ...
    t = loader.get_template('template2.html')
    c = Context({
        'app': 'My app',
        'user': request.user,
        'ip_address': request.META['REMOTE_ADDR'],
        'message': 'I am the second view.'
    })
    return t.render(c)

在这两个视图中，我们向模板传入了相同的三个变量： app 、 user 和 ip_address 。如果能去掉这些重复不是更好吗？ RequestContext 和上下文处理器就是为解决这种问题而出现的。上下文处理器用于指定自动在各个上下文中设定的变量，这样就无需每次调用 render() 时都指定。
为此，渲染模板时要把 Context 换成 RequestContext 。使用上下文处理器最低层的做法是创建一些处理器，将其传给 RequestContext 。使用上下文处理器改写上述示例得到的代码如下：

from django.template import loader, RequestContext
def custom_proc(request):
    # 一个上下文处理器，提供 'app'、'user' 和 'ip_address'
    return {
        'app': 'My app',
        'user': request.user,
        'ip_address': request.META['REMOTE_ADDR']
    }
def view_1(request):
    # ...
    t = loader.get_template('template1.html')
    c = RequestContext(request,
                        {'message': 'I am view 1.'},
                        processors=[custom_proc])
    return t.render(c)
def view_2(request):
    # ...
    t = loader.get_template('template2.html')
    c = RequestContext(request,
                        {'message': 'I am the second view.'},
                        processors=[custom_proc])
    return t.render(c)

下面分析一下这段代码：

• 首先，定义函数 custom_proc 。这是一个上下文处理器，它的参数是一个 HttpRequest 对象，返回值是一个字典，包含要在模板上下文中使用的变量。就这么简单。
• 我们修改了那两个视图函数，把 Context 换成 RequestContext 。构建这种上下文的方式有两处不同：其一， RequestContext 要求第一个参数必须是一个 HttpRequest 对象，即传给视图函数的那个参数（ request ）；其二， RequestContext 接受可选的 processors 参数，其值是要使用的上下文处理器列表或元组。这里，我们传入的是前面定义的那个处理器 custom_proc 。
• 现在，各个视图在构建上下文时无需包含 app 、 user 或 ip_address ，因为 custom_proc 已经提供。
• 如果需要，视图仍可以提供其他模板变量。这里，我们为两个视图设定了不同的 message 模板变量。

为了说明上下文处理器的低层工作方式，上述示例没有使用 render() 快捷方式。但是，使用上下文处理器时可以这么做，也推荐这么做。为此，要使用 context_instance 参数，如下所示

from django.shortcuts import render
from django.template import RequestContext
def custom_proc(request):
    # 一个上下文处理器，提供 'app'、'user' 和 'ip_address'
    return {
        'app': 'My app',
        'user': request.user,
        'ip_address': request.META['REMOTE_ADDR']
    }
def view_1(request):
    # ...
    return render(request, 'template1.html',
                  {'message': 'I am view 1.'},
                  context_instance=RequestContext(request, processors=[custom_proc])
                   )
def view_2(request):
    # ...
    return render(request, 'template2.html',
                {'message': 'I am the second view.'},
                context_instance=RequestContext(request, processors=[custom_proc])
                )

我们去掉了数据（模板变量）中的重复，但是增加了代码（调用processors 的代码）中的重复。

如果每一次都要输入 processors ，使用上下文处理器省不了多少事。鉴于此，Django 提供了全局上下文处理器。 context_processors 设置（在 settings.py 文件中）指明始终提供给 RequestContext 的上下文处理器。这样便不用每次使用 RequestContext 时都指定 processors 参数了。

'context_processors': [
    'django.template.context_processors.debug',
    'django.template.context_processors.request',
    'django.contrib.auth.context_processors.auth',
    'django.contrib.messages.context_processors.messages',
],

这是一个可调用对象列表，接口与前文定义的 custom_proc 函数一样——参数是一个请求对象，返回值是一个字典，包含要合并到上下文中的变量。注意， context_processors 中的值是字符串，因此处理器要在Python 路径中（这样才能在设置中引用）。

指定的各个处理器按顺序运用。因此，如果一个处理器向上下文中添加了一个变量，而后面一个处理器又添加了一个同名变量，那么后一个将覆盖前一个。Django 提供了几个简单的上下文处理器，包含默认启用的那几个。下面几小节详述。

 auth

django.contrib.auth.context_processors.auth
启用这个处理器后， RequestContext 中将包含下述变量：
• user ： auth.User 的实例，表示当前登录的用户（如未登录，是 AnonymousUser 实例）。
• perms ： django.contrib.auth.context_processors.PermWrapper 实例，表示当前登录用户拥有的权限。

debug

django.template.context_processors.debug
启用这个处理器后， RequestContext 中将包含下面两个变量，但前提是 DEBUG 设置的值是 True ，而且 INTER-
NAL_IPS 设置中包含请求的 IP 地址（ request.META['REMOTE_ADDR'] ）：
• debug ： True 。可以在模板中测试是否在 DEBUG 模式中。
• sql_queries ： {'sql': …, 'time': …} 字典构成的列表，表示处理请求的过程中执行的 SQL 查询及其
用时。列表中的值按查询的执行顺序排列，在访问时惰性生成

i18n

django.template.context_processors.i18n
启用这个处理器后， RequestContext 中将包含下面两个变量：
• LANGUAGES ： LANGUAGES 设置的值。
• LANGUAGE_CODE ：如果 request.LANGUAGE_CODE 存在，返回它的值；否则返回 LANGUAGE_CODE 设置的值。

media

django.template.context_processors.media
启用这个处理器后， RequestContext 中将包含 MEDIA_URL 变量，提供 MEDIA_URL 设置的值。

static

django.template.context_processors.static
启用这个处理程序后， RequestContext 中将包含 STATIC_URL 变量，提供 STATIC_URL 设置的值。

csrf

django.template.context_processors.csrf
这个处理器添加一个令牌，供 csrf_token 模板标签使用，用于防范跨站请求伪造

request

django.template.context_processors.request
启用这个处理器后， RequestContext 中将包含 request 变量，它的值是当前的 HttpRequest 对象。

messages

django.contrib.messages.context_processors.messages
启用这个处理器后， RequestContext 中将包含下面两个变量：
• messages ：消息框架设定的消息列表（里面的值是字符串）。
• DEFAULT_MESSAGE_LEVELS ：消息等级名称到数字值的映射。

自动转义 HTML

使用模板生成 HTML 时，变量的值可能包含特殊的字符，对得到的 HTML 产生影响。对下述模板片段来说

渲染模板后得到的结果是：

Hello, 

因此，浏览器会弹出一个对话框。

这种安全漏洞称为跨站脚本攻击（Cross Site Scripting，XSS）为了避免这种漏洞，有两个选择：
1. 每个不信任的变量都传给 escape 过滤器，把有潜在危害的 HTML 字符转换成无危害的。Django 起初的几年默认采用这种方案，它的问题是把责任强加到开发者或模板编写者身上了，你要确保转义一切。但是，忘记转义数据是常事。
2. 利用 Django 的自动转义 HTML 特性。

这个行为默认已启用。如果使用 Django 的模板系统，就能受到这一措施的保护。

在单个变量中禁用

若想在单个变量中禁用自动转义，使用 safe 过滤器：

This will be escaped: {{ data }}
This will not be escaped: {{ data|safe }}

这个过滤器的作用可以理解为“无需转义，可以放心使用”，或者“可以安全解释为 HTML”。这里，如果 data
中包含 ' ' ，得到的结果为：

This will be escaped: <b>
This will not be escaped: 

在模板中的块里禁用

若想在模板中控制自动转义行为，把模板（或其中一部分）放在 autoescape 标签里，如下所示：

{% autoescape off %}
Hello {{ name }}
{% endautoescape %}

autoescape 标签的参数为 on 或 off 。off 即是关闭有时需要强制自动转义，有时则想禁用。下面举个例子：

Auto-escaping is on by default. Hello {{ name }}
{% autoescape off %}
    This will not be auto-escaped: {{ data }}.
    Nor this: {{ other_data }}
    {% autoescape on %}
        Auto-escaping applies again: {{ name }}
    {% endautoescape %}
{% endautoescape %}