如何防止网站允许其用户提供自己的模板

Question

我正在开发一个网络应用程序，在 Django documentation 中我读到了这个：

模板系统对不受信任的模板作者不安全。例如，网站不应允许其用户提供自己的模板。

鉴于我不允许最终用户上传任何代码，我认为只有当用户能够以某种方式访问​​服务器并上传他的（恶意）模板或通过XSS 攻击。

还有什么我在这里遗漏并且应该注意的吗？为了防止这种情况发生，我是否必须采取任何其他措施（除了保护我的服务器和防范 XSS 攻击）？

Answer 1

模板代码不必在文件中。因此，可以创建一个 django 网站，用户可以在其中以常规形式提交 django 模板代码，就像您可以在 StackOverflow 上使用 markdown 一样。模板代码将存储在数据库的模型字段中。

开发人员可能很想以这种方式使用 django 模板代码。例如，如果您使用 django 构建博客网站或论坛。

您不需要任何特殊措施来防止这种情况发生。只有当您创建某种方式让用户提交您在服务器上执行的模板代码时，它才能被利用。