PythonでHTMLをエスケープする最も簡単な方法は何ですか？

cgi.escapeは1つの選択肢のようです。うまくいきますか？より良いと思われるものはありますか？

cgi.escape結構です。それはエスケープします：

• < に <
• > に >
• & に &

それはすべてのHTMLで十分です。

編集：エスケープしたい非ASCII文字がある場合、Craigが言うように、異なるエンコーディングを使用する別のエンコードされたドキュメントに含めるには、次のように使用します：

data.encode('ascii', 'xmlcharrefreplace')

エンコードされたエンコードを使用して、最初にデコードdataすることを忘れないでくださいunicode。

ただし、私の経験ではunicode、最初からずっと作業しているだけでは、そのようなエンコーディングは役に立ちません。最後に、ドキュメントヘッダーで指定されたエンコードにエンコードします（utf-8互換性を最大にするため）。

例：

>>> cgi.escape(u'<a>bá</a>').encode('ascii', 'xmlcharrefreplace')
'&lt;a&gt;b&#225;&lt;/a&gt;

また注目すべき点は（Gregに感謝しquoteます）追加のパラメーターをcgi.escape取ることです。これをに設定するとTrue、cgi.escape二重引用符（"）もエスケープされ、結果の値をXML / HTML属性で使用できるようになります。

編集：cgi.escapeはPython 3.2で非推奨になっていることに注意してくださいhtml.escape。これは、quoteデフォルトがTrueであることを除いて同じことを行います。

Python 3.2 htmlでは、HTMLマークアップから予約文字をエスケープするために使用される新しいモジュールが導入されました。

これには1つの機能がありますescape()。

>>> import html
>>> html.escape('x > 2 && x < 7 single quote: \' double quote: "')
'x &gt; 2 &amp;&amp; x &lt; 7 single quote: &#x27; double quote: &quot;'

URLでHTMLをエスケープする場合：

これはおそらくOPが望んだものではありませんが（エスケープがどのコンテキストで使用されることを意図しているかは明確に示されていません）、Pythonのネイティブライブラリurllibには、URLに安全に含める必要があるHTMLエンティティをエスケープするメソッドがあります。

次に例を示します。

#!/usr/bin/python
from urllib import quote

x = '+<>^&'
print quote(x) # prints '%2B%3C%3E%5E%26'

ここでドキュメントを検索

優れたマークアップセーフパッケージもあります。

>>> from markupsafe import Markup, escape
>>> escape("<script>alert(document.cookie);</script>")
Markup(u'&lt;script&gt;alert(document.cookie);&lt;/script&gt;')

markupsafeパッケージはよく設計され、そして、私見をエスケープついて行くには、おそらく最も汎用性とPython的な方法、理由はされています。

1. 戻り値（Markup）は、Unicode（つまり、isinstance(escape('str'), unicode) == True
2. Unicode入力を適切に処理します
3. Python（2.6、2.7、3.3、pypy）で動作します
4. オブジェクトのカスタムメソッド（つまり、__html__プロパティを持つオブジェクト）とテンプレートオーバーロード（__html_format__）を尊重します。

cgi.escape HTMLタグと文字エンティティをエスケープするという限られた意味でHTMLをエスケープするのに適しています。

ただし、エンコーディングの問題も考慮する必要がある場合があります。引用するHTMLに特定のエンコーディングの非ASCII文字が含まれている場合は、引用するときにそれらを慎重に表す必要があります。おそらく、それらをエンティティに変換できます。それ以外の場合は、ASCII以外の文字の破損を回避するために、「ソース」HTMLとそれが埋め込まれているページとの間で正しいエンコーディング変換が行われるようにする必要があります。

ライブラリ、純粋なpythonは、テキストをhtmlテキストに安全にエスケープしません。

text.replace('&', '&amp;').replace('>', '&gt;').replace('<', '&lt;'
        ).encode('ascii', 'xmlcharrefreplace')

cgi.escape 拡張

このバージョンは改善されcgi.escapeます。また、空白と改行も保持されます。unicode文字列を返します。

def escape_html(text):
    """escape strings for display in HTML"""
    return cgi.escape(text, quote=True).\
           replace(u'\n', u'<br />').\
           replace(u'\t', u'&emsp;').\
           replace(u'  ', u' &nbsp;')

例えば

>>> escape_html('<foo>\nfoo\t"bar"')
u'&lt;foo&gt;<br />foo&emsp;&quot;bar&quot;'

最も簡単な方法ではありませんが、それでも簡単です。cgi.escapeモジュールとの主な違い-すでに&テキスト内にある場合でも、正しく機能します。コメントからわかるように：

cgi.escapeバージョン

def escape(s, quote=None):
    '''Replace special characters "&", "<" and ">" to HTML-safe sequences.
    If the optional flag quote is true, the quotation mark character (")
is also translated.'''
    s = s.replace("&", "&amp;") # Must be done first!
    s = s.replace("<", "&lt;")
    s = s.replace(">", "&gt;")
    if quote:
        s = s.replace('"', "&quot;")
    return s

正規表現バージョン

QUOTE_PATTERN = r"""([&<>"'])(?!(amp|lt|gt|quot|#39);)"""
def escape(word):
    """
    Replaces special characters <>&"' to HTML-safe sequences. 
    With attention to already escaped characters.
    """
    replace_with = {
        '<': '&gt;',
        '>': '&lt;',
        '&': '&amp;',
        '"': '&quot;', # should be escaped in attributes
        "'": '&#39'    # should be escaped in attributes
    }
    quote_pattern = re.compile(QUOTE_PATTERN)
    return re.sub(quote_pattern, lambda x: replace_with[x.group(0)], word)

Python 2.7のレガシーコードの場合、BeautifulSoup4を介して実行できます。

>>> bs4.dammit import EntitySubstitution
>>> esub = EntitySubstitution()
>>> esub.substitute_html("r&d")
'r&d'