escape

Фильтр escape экранирует строку, используя стратегии, зависящие от контекста.

По умолчанию используется стратегия экранирования HTML:

<p>
    {{ user.username|escape }}
</p>

Для удобства, фильтр e определён как псевдоним:

<p>
    {{ user.username|e }}
</p>

Фильтр escape также может быть использован в контекстах, отличных от HTML, благодаря необязательному аргументу, определяющему стратегию экранирования:

{{ user.username|e }}
{# is equivalent to #}
{{ user.username|e('html') }}

И вот как экранировать переменные, включённые в код JavaScript:

{{ user.username|escape('js') }}
{{ user.username|e('js') }}

Фильтр escape поддерживает следующие стратегии экранирования для HTML-документов:

• html: экранирует строку для контекста тела HTML.
• js: экранирует строку для контекста JavaScript.
• css: экранирует строку для контекста CSS. Экранирование CSS может быть применено к любой строке, вставляемой в CSS, и экранирует все символы, кроме букв и цифр.
• url: экранирует строку для контекстов URI или параметра. Это не следует использовать для экранирования всего URI; только подкомпонента, вставляемого в него.
• html_attr: экранирует строку для контекста атрибута HTML.

Обратите внимание, что выполнение контекстного экранирования в HTML-документах сложно, и выбор правильной стратегии экранирования зависит от многих факторов. Пожалуйста, ознакомьтесь с соответствующей документацией, например, с руководством по предотвращению XSS от OWASP, чтобы узнать больше об этой теме.

{% set strategy = 'html' %}

{% autoescape 'html' %}
{{ var|escape('html') }}{# won't be double-escaped #}
{{ var|escape(strategy) }}{# will be double-escaped #}
{% endautoescape %}

{% set strategy = 'html' %}

{% autoescape 'html' %}
{{ var|escape(strategy)|raw }}{# won't be double-escaped #}
{% endautoescape %}

Пользовательские экранирователи

Вы можете определить пользовательские экранирователи, вызвав метод setEscaper() на экземпляре расширения экранирователя. Первый аргумент — имя экранирователя (для использования в вызове escape), а второй должен быть допустимым вызываемым по PHP:

$twig = new \Twig\Environment($loader);
$twig->getExtension(\Twig\Extension\EscaperExtension::class)->setEscaper('csv', 'csv_escaper');

При вызове Twig, вызываемый получает экземпляр среды Twig, строку для экранирования и кодировку.

Аргументы

• strategy: Стратегия экранирования
• charset: Кодировка строки