请求数据已经被Flask消毒了吗？

Question

应该将来自用户的数据（如Cookie值，路径中的可变部分，查询参数）视为不安全并以特定方式处理？ Flask是否已经对转义输入数据进行了清理，以便将它传递给函数test(input_data)是安全的？

Answer 1

除了从原始HTTP请求中解析数据之外，Flask没有要求数据请求。它无法知道任意函数有什么限制。这是由你来检查任何约束。所有数据默认都是字符串。请勿使用eval或exec。使用数据库驱动程序的参数化查询来避免SQL注入。如果您使用Jinja呈现模板，默认情况下它将转义数据以用于HTML。