使用PHP向HTML模板注入动态变量时变量名直接输出如何解决？

从MySQL取出的HTML模板是普通字符串格式，服务端模板引擎默认仅会解析存放在项目文件系统中的模板文件，不会自动识别并解析字符串内的占位变量，因此会直接输出原始变量名而非替换后的值。

PHP #

Smarty 引擎 #

调用fetch()方法时传入string:前缀标识内容为模板字符串即可触发解析：

// 从数据库取出模板字符串
$tplContent = $db->query("SELECT content FROM tpls WHERE id = 1")->fetchColumn();
// 绑定变量
$smarty->assign('username', '张三');
// 解析字符串模板并输出
echo $smarty->fetch('string:' . $tplContent);

Twig 引擎 #

用createTemplate()方法将字符串转为模板实例后渲染：

$tplContent = $db->query("SELECT content FROM tpls WHERE id = 1")->fetchColumn();
$template = $twig->createTemplate($tplContent);
echo $template->render(['username' => '张三']);

Python #

Django 框架 #

使用内置的Template和Context类手动解析字符串：

from django.template import Template, Context
from .models import CustomTemplate

tpl_obj = CustomTemplate.objects.get(id=1)
tpl = Template(tpl_obj.content)
context = Context({"username": "张三"})
rendered_html = tpl.render(context)

Flask/Jinja2 框架 #

调用render_template_string方法直接解析字符串模板：

from flask import render_template_string
from .models import CustomTemplate

tpl_obj = CustomTemplate.query.get(1)
rendered_html = render_template_string(tpl_obj.content, username="张三")

Node.js #

EJS 引擎 #

直接将模板字符串传入render方法即可：

const ejs = require('ejs')
const tplContent = await db.query('SELECT content FROM tpls WHERE id = 1')
const renderedHtml = ejs.render(tplContent, { username: '张三' })

Nunjucks 引擎 #

使用compileString方法编译字符串后渲染：

const nunjucks = require('nunjucks')
const tplContent = await db.query('SELECT content FROM tpls WHERE id = 1')
const template = nunjucks.compileString(tplContent)
const renderedHtml = template.render({ username: '张三' })

• 若数据库存储的模板支持普通用户编辑，必须严格过滤模板内可执行的代码逻辑，避免出现远程代码执行漏洞
• 所有用户输入的动态变量渲染到HTML前要做XSS转义处理，防范跨站脚本攻击

内容的提问来源于stack exchange，提问作者hany