用户生成的带有Flask的Jinja 2模板

Question

我正在编写一个Web应用程序,用户可以在其中创建自己的设计.最简单的方法是允许他们上传自己的Jinja 2模板.但是,我担心安全问题.

我应该谨慎的是什么？我应该为此设置自定义Jinja 2环境吗？

Answer 1

如果您允许用户上传任意 jinja2 模板，您就允许他们任意 html 和 javascript，从而成为网络托管公司，并承担所有后果。

您还必须小心授予他们访问权限的变量，以便私有用户数据（如果有）彼此分开。