mark_safeの用途

Question

mark_safeの用途がよくわかりません。チュートリアルを見ながらWEBサイトを作っています。

from django.shortcuts import render
from django.utils.html import mark_safe
from django.http import HttpResponse

# Create your views here.
def index(request):
    return render(request,'polls/index.html',{
        'hoge':'test string',
        'fuga':'<br>tag</br>',
        'piyo': mark_safe('<br>tag</br>'),
    })

とコードを書いて実行すると

と表示されました。
'fuga'では<br>タグが表示されるのに、'piyo'では<br>タグが表示されません。この、mark_safeをつけるとき<br>タグが表示されないことに意味があるのでしょうか？mark_safeはセキュリティのためにあるそうなのですが、タグが攻撃に狙われるということでしょうか？だったら、web上に公開するなら'fuga'にもmark_safeをつけるべきなのでしょうか？

Answer 1

'fuga'では<br>タグが表示されるのに、'piyo'では<br>タグが表示されません。

正確には、'piyo'では<br>タグがhtmlとしてちゃんと解釈され、画面に表示されなかった、ということになります。
'fuga'の<br>はエスケープされているので、htmlとしては解釈されず、文字としてそのまま表示された、ということです。
表示されたページで、htmlのソースを表示してみると分かりやすいです。

Djangoではtemplateに渡した文字列にhtmlタグがあった場合、自動でエスケープされるようになっていますが、mark_safeをつけることで、htmlタグはそのままhtmlタグとして表示されます。
views.py等でhtmlタグを含んだ文字列を作成したい場合には、mark_safeを使うことになります。