使用Python str.format处理用户提交模板是否安全？有无替代方案？

问题描述 #

我正在开发一个项目，允许用户提交包含占位符的模板，后续用于渲染生成动态内容。例如，用户可能提交类似"${item.price} - {item.description} / {item.release_date}"的模板，之后会填充真实值进行格式化。使用Django或Jinja等模板引擎需要大量验证和清理工作以防范SSTI和XSS攻击，因此我考虑使用Python的str.format方法作为更受限的安全替代方案，因为该方法无法直接执行Python代码。我的问题是：使用str.format处理用户提交的模板是否足够安全，是否仍存在注入攻击风险？如果不安全，Python中有没有实现「安全模板渲染」的替代方案？

关于str.format的安全性分析 #

• 存在属性遍历注入风险：str.format虽然不能直接执行任意Python代码，但支持通过占位符访问对象的属性和方法。比如用户构造{0.__class__.__base__.__subclasses__()}这类模板，可尝试遍历对象的内部结构，在特定环境下可能利用内置类的漏洞触发敏感操作（比如读取服务器文件），尽管这类攻击需要特定条件，但并非绝对安全。
• 无XSS防护能力：如果渲染后的内容要输出到网页，str.format不会自动处理HTML转义。若用户模板中包含恶意HTML标签，或填充的数据带有脚本代码，直接输出会引发XSS攻击。

安全模板渲染的替代方案 #

• Python标准库string.Template：这是最稳妥的轻量方案，仅支持$variable或${variable}格式的简单占位符，完全禁止属性访问或表达式执行，从根源上避免了注入风险。示例代码：

  from string import Template
  
  user_template = "${item_price} - ${item_description} / ${item_release_date}"
  template = Template(user_template)
  rendered_content = template.substitute(
      item_price=19.99,
      item_description="示例商品",
      item_release_date="2024-05-20"
  )
  

• 自定义极简解析器：如果需要特定的占位符格式（比如{{item.price}}），可以自己实现一个简单的解析逻辑：仅识别固定格式的占位符，直接替换为对应的值，不支持任何表达式或属性访问。这种方式完全可控，安全度最高。
• 安全配置的Jinja2：若需要成熟模板引擎的功能，可严格配置Jinja2：禁用函数调用、限制属性访问、开启自动HTML转义，同时对用户提交的模板做静态语法检查，过滤危险结构。配置得当的Jinja2在XSS防护上更专业，比str.format更适合网页场景。

内容的提问来源于stack exchange，提问作者G. Bittencourt