リクエストデータは既にFlaskによってサニタイズされていますか？

Question

クッキー値、ルート内の可変部分、クエリ引数などのデータは、安全でないものとして扱われ、特定の方法で処理されるべきですか？ Flaskはすでに入力データをエスケープしているので、関数test(input_data)に渡すのは安全ですか？

Answer 1

Flaskは、生のHTTPリクエストから解析するだけでなく、データを要求することもありません。任意の関数が持つ制約を知る方法がありません。制約をチェックするのはあなた次第です。すべてのデータはデフォルトで文字列になります。 evalまたはexecは使用しないでください。 SQLインジェクションを避けるには、データベースドライバのパラメータ化されたクエリを使用します。 Jinjaでテンプレートをレンダリングすると、デフォルトでHTMLで使用するためにデータがエスケープされます。