Qual è il modo più semplice per sfuggire all'HTML in Python?

cgi.escape sembra una possibile scelta. Funziona bene? C'è qualcosa che è considerato migliore?

cgi.escapeè ok. Sfugge:

• < per <
• > per >
• & per &

Questo è abbastanza per tutto l'HTML.

EDIT: Se hai caratteri non ascii che vuoi scappare, per l'inclusione in un altro documento codificato che utilizza una codifica diversa, come dice Craig , basta usare:

data.encode('ascii', 'xmlcharrefreplace')

Non dimenticare di decodificare dataper unicodeprimo, usando qualunque codifica sia stata codificata.

Tuttavia, nella mia esperienza, quel tipo di codifica è inutile se lavori unicodesempre dall'inizio. Basta codificare alla fine della codifica specificata nell'intestazione del documento ( utf-8per la massima compatibilità).

Esempio:

>>> cgi.escape(u'<a>bá</a>').encode('ascii', 'xmlcharrefreplace')
'&lt;a&gt;b&#225;&lt;/a&gt;

Degno di nota (grazie Greg) è il quoteparametro aggiuntivo cgi.escapeprende. Se impostato su True, cgi.escapeevita anche i caratteri di virgolette doppie ( ") in modo da poter utilizzare il valore risultante in un attributo XML / HTML.

EDIT: Nota che cgi.escape è stato deprecato in Python 3.2 a favore di html.escape, che fa lo stesso tranne che per quoteimpostazione predefinita è True.

In Python 3.2 htmlè stato introdotto un nuovo modulo, che viene utilizzato per sfuggire ai caratteri riservati dal markup HTML.

Ha una funzione escape():

>>> import html
>>> html.escape('x > 2 && x < 7 single quote: \' double quote: "')
'x &gt; 2 &amp;&amp; x &lt; 7 single quote: &#x27; double quote: &quot;'

Se desideri sfuggire all'HTML in un URL:

Questo probabilmente NON è quello che voleva l'OP (la domanda non indica chiaramente in quale contesto si debba usare l'escaping), ma l' URLlib della libreria nativa di Python ha un metodo per sfuggire alle entità HTML che devono essere incluse in un URL in modo sicuro.

Quanto segue è un esempio:

#!/usr/bin/python
from urllib import quote

x = '+<>^&'
print quote(x) # prints '%2B%3C%3E%5E%26'

Trova documenti qui

C'è anche l'eccellente pacchetto markupsafe .

>>> from markupsafe import Markup, escape
>>> escape("<script>alert(document.cookie);</script>")
Markup(u'&lt;script&gt;alert(document.cookie);&lt;/script&gt;')

Il markupsafepacchetto è ben progettato, e probabilmente il modo più versatile e Pythonic per evadere, IMHO, perché:

1. il ritorno ( Markup) è una classe derivata da unicode (cioèisinstance(escape('str'), unicode) == True
2. gestisce correttamente l'input Unicode
3. funziona in Python (2.6, 2.7, 3.3 e pypy)
4. rispetta i metodi personalizzati di oggetti (ovvero oggetti con una __html__proprietà) e template overload ( __html_format__).

cgi.escape dovrebbe essere buono per sfuggire all'HTML nel senso limitato di sfuggire ai tag HTML e alle entità carattere.

Ma potresti dover considerare anche i problemi di codifica: se l'HTML che vuoi citare ha caratteri non ASCII in una particolare codifica, allora dovresti anche preoccuparti di rappresentarli sensibilmente durante il preventivo. Forse potresti convertirli in entità. In caso contrario, è necessario assicurarsi che vengano eseguite le traduzioni di codifica corrette tra l'HTML "sorgente" e la pagina in cui è incorporato, per evitare di corrompere i caratteri non ASCII.

Nessuna libreria, puro Python, sfugge al testo in modo sicuro nel testo HTML:

text.replace('&', '&amp;').replace('>', '&gt;').replace('<', '&lt;'
        ).encode('ascii', 'xmlcharrefreplace')

cgi.escape esteso

Questa versione migliora cgi.escape. Conserva anche gli spazi bianchi e le nuove righe. Restituisce una unicodestringa.

def escape_html(text):
    """escape strings for display in HTML"""
    return cgi.escape(text, quote=True).\
           replace(u'\n', u'<br />').\
           replace(u'\t', u'&emsp;').\
           replace(u'  ', u' &nbsp;')

per esempio

>>> escape_html('<foo>\nfoo\t"bar"')
u'&lt;foo&gt;<br />foo&emsp;&quot;bar&quot;'

Non è il modo più semplice, ma comunque semplice. La differenza principale rispetto al modulo cgi.escape - funzionerà ancora correttamente se hai già &nel tuo testo. Come vedi dai commenti ad esso:

versione cgi.escape

def escape(s, quote=None):
    '''Replace special characters "&", "<" and ">" to HTML-safe sequences.
    If the optional flag quote is true, the quotation mark character (")
is also translated.'''
    s = s.replace("&", "&amp;") # Must be done first!
    s = s.replace("<", "&lt;")
    s = s.replace(">", "&gt;")
    if quote:
        s = s.replace('"', "&quot;")
    return s

versione regex

QUOTE_PATTERN = r"""([&<>"'])(?!(amp|lt|gt|quot|#39);)"""
def escape(word):
    """
    Replaces special characters <>&"' to HTML-safe sequences. 
    With attention to already escaped characters.
    """
    replace_with = {
        '<': '&gt;',
        '>': '&lt;',
        '&': '&amp;',
        '"': '&quot;', # should be escaped in attributes
        "'": '&#39'    # should be escaped in attributes
    }
    quote_pattern = re.compile(QUOTE_PATTERN)
    return re.sub(quote_pattern, lambda x: replace_with[x.group(0)], word)

Per il codice legacy in Python 2.7, puoi farlo tramite BeautifulSoup4 :

>>> bs4.dammit import EntitySubstitution
>>> esub = EntitySubstitution()
>>> esub.substitute_html("r&d")
'r&d'