[Django学习]模板

时间 2019-11-17

标签 django 学习模板栏目 Python 繁體版

原文原文链接

模板介绍

做为Web框架，Django提供了模板，能够很便利的动态生成HTML
模版系统致力于表达外观，而不是程序逻辑
模板的设计实现了业务逻辑(view)与显示内容（template）的分离，一个视图可使用任意一个模板，一个模板能够供多个视图使用
模板包含
- HTML的静态部分
- 动态插入内容部分
Django模板语言，简写DTL，定义在django.template包中
由startproject命令生成的settings.py定义关于模板的值：
- DIRS定义了一个目录列表，模板引擎按列表顺序搜索这些目录以查找模板源文件
- APP_DIRS告诉模板引擎是否应该在每一个已安装的应用中查找模板
经常使用方式：在项目的根目录下建立templates目录，设置DIRS值

DIRS=[os.path.join(BASE_DIR,"templates")]

模板处理

Django处理模板分为两个阶段
Step1 加载：根据给定的标识找到模板而后预处理，一般会将它编译好放在内存中

loader.get_template(template_name)，返回一个Template对象

Step2 渲染：使用Context数据对模板插值并返回生成的字符串

Template对象的render(RequestContext)方法，使用context渲染模板

加载渲染完整代码：

from django.template import loader, RequestContext
from django.http import HttpResponse

def index(request):
    tem = loader.get_template('temtest/index.html')
    context = RequestContext(request, {})
    return HttpResponse(tem.render(context))

快捷函数

为了减小加载模板、渲染模板的重复代码，django提供了快捷函数
render_to_string("")
render(request,'模板',context)

from django.shortcuts import render

def index(request):
    return render(request, 'temtest/index.html')

1. 定义模板

模板语言包括
- 变量
- 标签 { % 代码块 % }
- 过滤器
- 注释{# 代码或html #}

变量

语法：

{{ variable }}

当模版引擎遇到一个变量，将计算这个变量，而后将结果输出
变量名必须由字母、数字、下划线（不能如下划线开头）和点组成
当模版引擎遇到点(".")，会按照下列顺序查询：
1. 字典查询，例如：foo["bar"]
2. 属性或方法查询，例如：foo.bar
3. 数字索引查询，例如：foo[bar]
若是变量不存在，模版系统将插入'' (空字符串)
在模板中调用方法时不能传递参数

在模板中调用对象的方法

在models.py中定义类HeroInfo

from django.db import models

class HeroInfo(models.Model):
    ...
    def showName(self):
        return self.hname

在views.py中传递HeroInfo对象

from django.shortcuts import render
from models import *

def index(request):
    hero = HeroInfo(hname='abc')
    context = {'hero': hero}
    return render(request, 'temtest/detail.html', context)

在模板detail.html中调用

{{hero.showName}}

过滤器

语法：{ { 变量|过滤器 }}，例如{ { name|lower }}，表示将变量name的值变为小写输出
使用管道符号 (|)来应用过滤器
经过使用过滤器来改变变量的计算结果
能够在if标签中使用过滤器结合运算符

if list1|length > 1

过滤器可以被“串联”，构成过滤器链

name|lower|upper

过滤器能够传递参数，参数使用引号包起来

list|join:", "

default：若是一个变量没有被提供，或者值为false或空，则使用默认值，不然使用变量的值

value|default:"什么也没有"

date：根据给定格式对一个date变量格式化

value|date:'Y-m-d'

escape：详见“HTML转义”
点击查看详细的过滤器

注释

单行注释

{#...#}

注释能够包含任何模版代码，有效的或者无效的均可以

{# { % if foo % }bar{ % else % } #}

使用comment标签注释模版中的多行内容

2. 模板继承

模板继承能够减小页面内容的重复定义，实现页面内容的重用
典型应用：网站的头部、尾部是同样的，这些内容能够定义在父模板中，子模板不须要重复定义
block标签：在父模板中预留区域，在子模板中填充
extends继承：继承，写在模板文件的第一行
定义父模板base.html

{ %block block_name%}
这里能够定义默认值
若是不定义默认值，则表示空字符串
{ %endblock%}

定义子模板index.html

{ % extends "base.html" %}

在子模板中使用block填充预留区域

{ %block block_name%}
实际填充内容
{ %endblock%}

说明

若是在模版中使用extends标签，它必须是模版中的第一个标签
不能在一个模版中定义多个相同名字的block标签
子模版没必要定义所有父模版中的blocks，若是子模版没有定义block，则使用了父模版中的默认值
若是发如今模板中大量的复制内容，那就应该把内容移动到父模板中
使用能够获取父模板中block的内容
为了更好的可读性，能够给endblock标签一个名字

{ % block block_name %}
区域内容
{ % endblock block_name %}

三层继承结构

三层继承结构使代码获得最大程度的复用，而且使得添加内容更加简单
以下图为常见的电商页面

1.建立根级模板

名称为“base.html”
存放整个站点共用的内容

<!DOCTYPE html>
<html>
<head>
    <title>{%block title%}{%endblock%} 水果超市</title>
</head>
<body>
top--{{logo}}
<hr/>
{%block left%}{%endblock%}
{%block content%}{%endblock%}
<hr/>
bottom
</body>
</html>

2.建立分支模版

继承自base.html
名为“base_*.html”
定义特定分支共用的内容
定义base_goods.html

{%extends 'temtest/base.html'%}
{%block title%}商品{%endblock%}
{%block left%}
<h1>goods left</h1>
{%endblock%}

定义base_user.html

{%extends 'temtest/base.html'%}
{%block title%}用户中心{%endblock%}
{%block left%}
<font color='blue'>user left</font>
{%endblock%}

定义index.html，继承自base.html，不须要写left块

{%extends 'temtest/base.html'%}
{%block content%}
首页内容
{%endblock content%}

3.为具体页面建立模板，继承自分支模板

定义商品列表页goodslist.html

{%extends 'temtest/base_goods.html'%}
{%block content%}
商品正文列表
{%endblock content%}

定义用户密码页userpwd.html

{%extends 'temtest/base_user.html'%}
{%block content%}
用户密码修改
{%endblock content%}

4.视图调用具体页面，并传递模板中须要的数据

首页视图index

logo='welcome to itcast'
def index(request):
    return render(request, 'temtest/index.html', {'logo': logo})

商品列表视图goodslist

def goodslist(request):
    return render(request, 'temtest/goodslist.html', {'logo': logo})

用户密码视图userpwd

def userpwd(request):
    return render(request, 'temtest/userpwd.html', {'logo': logo})

5.配置url

from django.conf.urls import url
from . import views
urlpatterns = [
    url(r'^$', views.index, name='index'),
    url(r'^list/$', views.goodslist, name='list'),
    url(r'^pwd/$', views.userpwd, name='pwd'),
]

3. HTML转义

Django对字符串进行自动HTML转义，如在模板中输出以下值：

视图代码：
def index(request):
    return render(request, 'temtest/index2.html',
                  {
                      't1': '<h1>hello</h1>'
                  })
模板代码：
{{t1}}

显示效果以下图：

会被自动转义的字符

html转义，就是将包含的html标签输出，而不被解释执行，缘由是当显示用户提交字符串时，可能包含一些攻击性的代码，如js脚本
Django会将以下字符自动转义：

< 会转换为&lt;

> 会转换为&gt;

' (单引号) 会转换为&#39;

" (双引号)会转换为 &quot;

& 会转换为 &amp;

当显示不被信任的变量时使用escape过滤器，通常省略，由于Django自动转义

{{t1|escape}}

关闭转义

对于变量使用safe过滤器

{{ data|safe }}

对于代码块使用autoescape标签

{ % autoescape off %}
{{ body }}
{ % endautoescape %}

标签autoescape接受on或者off参数
自动转义标签在base模板中关闭，在child模板中也是关闭的

字符串字面值

手动转义

{ { data|default:"<b>123</b>" }}

应写为

{ { data|default:"&lt;b&gt;123&lt;/b&gt;" }}

4. csrf

全称Cross Site Request Forgery，跨站请求伪造
某些恶意网站上包含连接、表单按钮或者JavaScript，它们会利用登陆过的用户在浏览器中的认证信息试图在你的网站上完成某些操做，这就是跨站攻击
演示csrf以下
建立视图csrf1用于展现表单，csrf2用于接收post请求

def csrf1(request):
    return render(request,'booktest/csrf1.html')
def csrf2(request):
    uname=request.POST['uname']
    return render(request,'booktest/csrf2.html',{'uname':uname})

配置url

url(r'^csrf1/$', views.csrf1),
url(r'^csrf2/$', views.csrf2),

建立模板csrf1.html用于展现表单

<html>
<head>
    <title>Title</title>
</head>
<body>
<form method="post" action="/crsf2/">
    <input name="uname"><br>
    <input type="submit" value="提交"/>
</form>
</body>
</html>

建立模板csrf2用于展现接收的结果

<html>
<head>
    <title>Title</title>
</head>
<body>
{{ uname }}
</body>
</html>

在浏览器中访问，查看效果，报错以下：

将settings.py中的中间件代码'django.middleware.csrf.CsrfViewMiddleware'注释
查看csrf1的源代码，复制，在本身的网站内建一个html文件，粘贴源码，访问查看效果

防csrf的使用

在django的模板中，提供了防止跨站攻击的方法，使用步骤以下：
step1：在settings.py中启用'django.middleware.csrf.CsrfViewMiddleware'中间件，此项在建立项目时，默认被启用
step2：在csrf1.html中添加标签

<form>
{% csrf_token %}
...
</form>

step3：测试刚才的两个请求，发现跨站的请求被拒绝了，效果以下图

取消保护

若是某些视图不须要保护，可使用装饰器csrf_exempt，模板中也不须要写标签，修改csrf2的视图以下

from django.views.decorators.csrf import csrf_exempt

@csrf_exempt
def csrf2(request):
    uname=request.POST['uname']
    return render(request,'booktest/csrf2.html',{'uname':uname})

运行上面的两个请求，发现均可以请求

保护原理

加入标签后，能够查看源代码，发现多了以下代码

<input type='hidden' name='csrfmiddlewaretoken' value='nGjAB3Md9ZSb4NmG1sXDolPmh3bR2g59' />

在浏览器的调试工具中，经过network标签能够查看cookie信息
本站中自动添加了cookie信息，以下图

查看跨站的信息，并无cookie信息，即便加入上面的隐藏域代码，发现又能够访问了
结论：django的csrf不是彻底的安全
当提交请求时，中间件'django.middleware.csrf.CsrfViewMiddleware'会对提交的cookie及隐藏域的内容进行验证，若是失败则返回403错误