Prompt y contexto
Tu equipo se está actualizando a Python 3.14 y quiere inspeccionar las interpolaciones antes de unir el texto. Explica qué produce una t-string, cómo recorrerla y por qué la API de plantillas no es un escape automático.
El PEP 750 agrega cadenas de plantilla (template strings) a Python 3.14. t"..." no produce directamente str; produce string.templatelib.Template, conservando segmentos estáticos y objetos de interpolación para que una aplicación pueda validar, escapar o transformar cada valor antes de unirlo.
Lo que el entrevistador está evaluando
Cubre la diferencia entre la conversión inmediata a cadena de una f-string y una t-string estructurada, los campos de Template y Interpolation, valores sin procesar y especificaciones de formato, escape específico según el contexto, control de efectos secundarios y compatibilidad con versiones anteriores de Python.
Estructura de respuesta en 30 segundos
“Comenzaría diciendo que una t-string no es una salida segura por sí misma. Preserva segmentos estáticos y objetos de interpolación para que un renderizador pueda inspeccionar el valor sin procesar, el texto de la expresión, la conversión y la especificación de formato, y luego aplicar una codificación específica para SQL, HTML o logging. Restringiría los tipos de valor, probaría plantillas anidadas, especificaciones de formato, excepciones y respaldo para versiones anteriores, y validaría la salida final nuevamente en su destino”.
Análisis paso a paso
Paso 1: Contrastar f-strings y t-strings
Una f-string evalúa y formatea a str, por lo que su estructura intermedia desaparece. Una t-string utiliza el prefijo t y produce un Template; el texto estático y las interpolaciones permanecen separados hasta que un renderizador los une.
Paso 2: Comprender los objetos principales
Una plantilla contiene segmentos de cadena y objetos Interpolation. Una interpolación registra su valor, texto de expresión, marcador de conversión y especificación de formato, lo que permite que la política considere el contexto de origen y destino. La iteración no significa que el resultado ya sea seguro.
Paso 3: Escribir un procesador mínimo
El siguiente procesador solo demuestra el recorrido estructural; un sistema real aún necesita codificación específica según el contexto:
from string.templatelib import Template
def render_plain(template: Template) -> str:
parts = []
for item in template:
if isinstance(item, str):
parts.append(item)
else:
parts.append(str(item.value))
return "".join(parts)
message = t"Hello, {name}!"str(item.value) solo es adecuado para un ejemplo de texto plano. SQL, HTML, Shell y los registros necesitan sus propias API de parametrización o codificación.
Paso 4: Manejar conversiones y especificaciones de formato
Una interpolación puede llevar !s, !r o una especificación de formato. El renderizador debe decidir si se permite la conversión y luego codificar el valor convertido para el contexto de destino. repr no es escape HTML, y una especificación de formato no debe eludir una lista de permisos de tipos.
Paso 5: Evitar expresiones con efectos secundarios
Una t-string todavía evalúa expresiones de interpolación para crear objetos Interpolation. El procesador no es un entorno aislado (sandbox); una plantilla que no es de confianza ya es riesgosa en el momento de la construcción. Para complementos o entradas de usuario, acepta marcadores de posición de datos en lugar de expresiones ejecutadas dinámicamente.
Paso 6: Elegir la política según el contexto de salida
El texto plano puede usar una conversión permitida por lista; HTML necesita un escapador HTML auditado; SQL necesita vinculación de parámetros del controlador; Shell debe evitar la concatenación y usar un arreglo de argumentos; los registros estructurados deben llevar campos en lugar de una sola línea unida. Template proporciona estructura, no estos límites de seguridad.
Paso 7: Soportar versiones y descubrir la API
Python 3.14 proporciona string.templatelib. Una capa de compatibilidad debe seleccionar una biblioteca de plantillas existente o recurrir explícitamente a f-strings en versiones anteriores; no debe pretender preservar la estructura de interpolación allí. Verifica la versión en tiempo de ejecución al inicio y ejecuta CI en cada intérprete compatible.
Paso 8: Probar y observar
Prueba segmentos estáticos, t-strings anidadas, especificaciones de formato, excepciones, efectos secundarios de __format__ y plantillas grandes. Registra los tipos de valores rechazados y las fuentes de plantillas sin registrar contenido de interpolación confidencial; ejecuta regresiones de seguridad específicas del contexto en la salida.
Compensaciones y límites
Procesamiento estructurado frente a unión simple
La estructura ayuda cuando un límite necesita auditoría, localización o múltiples destinos de salida. Un script único de texto plano es más simple con una f-string. Elige según el riesgo y la reutilización en lugar de pasar cada cadena a través de una canalización de plantillas.
Formateo flexible frente a tipos predecibles
Permitir __format__ arbitrarios es expresivo pero introduce efectos secundarios y variación de tipos. Un renderizador compartido debe restringir tipos, conversiones y especificaciones de formato, y devolver errores diagnosticables para valores rechazados.
Objeto de plantilla frente a cadena final
Un Template es útil dentro de un límite controlado. La salida final todavía necesita validación específica del destino antes de enviarla, almacenarla o ejecutarla; no es un token de seguridad ya codificado.
Simulacros de fallas y plan de evolución
Se elude el escape de HTML
Asigna a una interpolación un __str__ personalizado que devuelva marcado y verifica que la conversión simple a str no sea segura. Reemplázalo con codificación de contexto y agrega regresiones de valores maliciosos.
Una especificación de formato genera una excepción
Usa una especificación no admitida y un objeto cuyo __format__ genere una excepción. El procesador debe identificar la interpolación y rechazar el renderizado en lugar de devolver una salida parcial.
Un intérprete antiguo ejecuta el módulo
Inicia el mismo módulo en Python 3.13. La verificación de versiones debe producir un error claro o elegir una implementación de compatibilidad explícita en lugar de posponer un fallo de sintaxis para producción.
Errores comunes y preguntas de seguimiento
Error 1: Asumir que las t-strings escapan automáticamente
Seguimiento: ¿Qué resuelven? Conservan la estructura para que la política pueda ejecutarse antes de la unión; la seguridad de SQL y HTML todavía pertenece a API dedicadas.
Error 2: Asumir que las expresiones de interpolación nunca se ejecutan
Seguimiento: ¿Cuándo se evalúan? Se ejecutan mientras se construye la t-string, por lo que una plantilla no confiable no obtiene aislamiento (sandboxing) a partir de esta sintaxis.
Error 3: Tratar repr como codificación segura
Seguimiento: ¿Por qué no? repr es una representación de depuración y no garantiza reglas de codificación para HTML, SQL, Shell o campos de registro.
Preguntas de seguimiento extendidas y respuestas modelo
¿Deberían las t-strings reemplazar cada f-string?
No. La estructura es útil solo en límites que inspeccionan o transforman interpolaciones antes de unir; el texto plano ordinario puede seguir siendo una f-string.
¿Cómo construirías un renderizador SQL?
No generes una cadena SQL. Mapea segmentos estáticos y valores a marcadores de posición del controlador, vincula valores a través del controlador y usa la plantilla únicamente para describir la estructura de la sentencia.
¿Cómo das soporte a versiones anteriores de Python?
Verifica el entorno de ejecución, usa string.templatelib en 3.14 y usa una implementación existente o un error explícito de no admitido en versiones anteriores. Verifica las diferencias semánticas con el mismo conjunto de pruebas de seguridad.