Django(PySCADA)问题：后台输入的HTML代码无法获取Django变量值

嘿，这个问题我做内容管理系统时也碰到过！核心原因其实很简单：Django的模板渲染是在服务器端提前完成的——当你把管理员存在数据库里的HTML直接输出到用户端模板时，模板引擎已经完成了第一轮解析，所以HTML里的{{ variable }}只会被当成普通文本，不会被替换成实际的变量值。

下面给你两种实用的解决方案，根据你的场景选就行：

方案一：手动字符串替换（适合简单变量场景） #

如果只是要替换几个简单的变量（比如用户名、站点名称这类），直接在视图里做字符串替换就够了，简单高效。

视图代码示例： #

from django.shortcuts import render
from .models import AdminHTML  # 假设你存HTML的模型是这个

def user_frontend(request):
    # 从数据库取出管理员添加的HTML内容
    raw_html = AdminHTML.objects.first().content
    
    # 准备要替换的变量和对应的值
    template_vars = {
        'current_user': request.user.username,
        'site_title': '我的用户中心',
        'contact_email': 'support@example.com'
    }
    
    # 遍历变量，替换HTML里的占位符
    for var_name, var_value in template_vars.items():
        # 匹配{{ var_name }}的格式，包括空格
        raw_html = raw_html.replace(f'{{{{ {var_name} }}}}', str(var_value))
    
    # 把处理后的HTML传给模板
    return render(request, 'user_page.html', {'rendered_html': raw_html})

用户端模板（user_page.html）： #

<div class="custom-content">
    {{ rendered_html|safe }}  <!-- 用safe过滤器让HTML生效 -->
</div>

方案二：用Django模板引擎重新渲染（支持复杂模板语法） #

如果管理员输入的HTML里包含Django模板标签（比如{% if %}、{% for %}）或者过滤器（比如{{ value|date:"Y-m-d" }}），那手动替换就不够用了，得用Django的模板系统重新解析这段HTML。

视图代码示例： #

from django.template import Template, Context
from django.shortcuts import render
from .models import AdminHTML
from .models import Article  # 假设你有文章模型要传给模板

def user_frontend(request):
    # 取出原始HTML内容
    raw_template_content = AdminHTML.objects.first().content
    
    # 创建Django模板对象
    custom_template = Template(raw_template_content)
    
    # 准备完整的上下文变量，和你平时写模板用的一样
    context = Context({
        'current_user': request.user.username,
        'latest_articles': Article.objects.order_by('-pub_date')[:3],
        'site_title': '我的用户中心'
    })
    
    # 用模板引擎渲染出最终的HTML
    final_html = custom_template.render(context)
    
    return render(request, 'user_page.html', {'rendered_html': final_html})

用户端模板和方案一一样，用{{ rendered_html|safe }}渲染即可。 #

重要安全提醒！ #

不管用哪种方案，都要警惕XSS跨站脚本攻击的风险——毕竟管理员输入的HTML如果包含恶意脚本，直接渲染会危害用户安全。建议：

• 只允许可信的管理员编辑这段HTML；
• 用bleach库对输入的HTML进行清理，只保留安全的标签和属性：

  import bleach
  
  # 定义允许的HTML标签和属性
  allowed_tags = ['p', 'a', 'img', 'h2', 'h3', 'ul', 'li']
  allowed_attrs = {
      'a': ['href', 'title'],
      'img': ['src', 'alt']
  }
  
  # 清理HTML内容
  cleaned_html = bleach.clean(raw_template_content, tags=allowed_tags, attributes=allowed_attrs)
  

希望这些方法能帮你解决问题！如果还有特殊场景，咱们再聊~

内容的提问来源于stack exchange，提问作者Amit Panasara