Gesaan dan konteks
Pasukan anda sedang menaik taraf kepada Python 3.14 dan ingin memeriksa interpolasi sebelum menggabungkan teks. Terangkan apa yang dihasilkan oleh t-string, cara merentasinya dan mengapa API templat bukan pelepasan automatik.
PEP 750 menambah rentetan templat pada Python 3.14. t"..." tidak menghasilkan str secara langsung; ia menghasilkan string.templatelib.Template, mengekalkan segmen statik dan objek interpolasi supaya aplikasi boleh mengesahkan, melepaskan (escape) atau mengubah setiap nilai sebelum bergabung.
Perkara yang sedang diuji oleh penemuduga
Merangkumi perbezaan antara penukaran rentetan serta-merta f-string dan t-string berstruktur, medan Template dan Interpolation, nilai mentah dan spesifikasi format, pelepasan khusus konteks, kawalan kesan sampingan dan keserasian dengan versi Python yang lebih lama.
Rangka kerja jawapan 30 saat
"Saya akan mulakan dengan menyatakan bahawa t-string bukanlah output yang selamat dengan sendirinya. Ia mengekalkan segmen statik dan objek interpolasi supaya perender boleh memeriksa nilai mentah, teks ungkapan, penukaran dan spesifikasi format, kemudian menggunakan pengekodan khusus SQL-, HTML- atau pengelogan. Saya akan menyekat jenis nilai, menguji templat bersarang, spesifikasi format, pengecualian dan sandaran versi lama, serta mengesahkan output akhir sekali lagi di destinasinya."
Penyelaman mendalam langkah demi langkah
Langkah 1: Bezakan f-string dan t-string
F-string menilai dan memformat kepada str, jadi struktur perantaranya hilang. T-string menggunakan awalan t dan menghasilkan Template; teks statik dan interpolasi kekal berasingan sehingga perender menggabungkannya.
Langkah 2: Fahami objek teras
Templat mengandungi segmen rentetan dan objek Interpolation. Interpolasi merekodkan nilainya, teks ungkapan, penanda penukaran dan spesifikasi format, membolehkan dasar mempertimbangkan konteks sumber dan destinasi. Lelaran tidak bermakna hasilnya sudah selamat.
Langkah 3: Tulis pemproses minimum
Pemproses berikut hanya menunjukkan perentasan struktur; sistem sebenar masih memerlukan pengekodan khusus konteks:
from string.templatelib import Template
def render_plain(template: Template) -> str:
parts = []
for item in template:
if isinstance(item, str):
parts.append(item)
else:
parts.append(str(item.value))
return "".join(parts)
message = t"Hello, {name}!"str(item.value) hanya sesuai untuk contoh teks biasa. SQL, HTML, Shell dan log memerlukan API pemparameteran atau pengekodan tersendiri.
Langkah 4: Kendalikan penukaran dan spesifikasi format
Interpolasi mungkin membawa !s, !r atau spesifikasi format. Perender harus memutuskan sama ada penukaran dibenarkan, kemudian mengekod nilai yang ditukar untuk konteks destinasi. repr bukan pelepasan HTML, dan spesifikasi format tidak boleh memintas senarai dibenarkan jenis.
Langkah 5: Elakkan ungkapan dengan kesan sampingan
T-string masih menilai ungkapan interpolasi untuk mencipta objek Interpolation. Pemproses bukan kotak pasir (sandbox); templat yang tidak dipercayai sudah berisiko semasa masa pembinaan. Untuk pemalam atau input pengguna, terima pemegang tempat data dan bukannya ungkapan yang dilaksanakan secara dinamik.
Langkah 6: Pilih dasar mengikut konteks output
Teks biasa boleh menggunakan penukaran yang disenarai benarkan; HTML memerlukan pelepas HTML yang diaudit; SQL memerlukan pengikatan parameter pemacu; Shell harus mengelakkan penyambungan dan menggunakan tatasusunan hujah; log berstruktur harus membawa medan dan bukannya satu baris yang digabungkan. Template membekalkan struktur, bukan sempadan keselamatan ini.
Langkah 7: Sokong versi dan temui API
Python 3.14 menyediakan string.templatelib. Lapisan keserasian harus memilih pustaka templat sedia ada atau secara eksplisit beralih kembali kepada f-string pada versi yang lebih lama; ia tidak boleh berpura-pura mengekalkan struktur interpolasi di sana. Semak versi masa jalan semasa permulaan dan jalankan CI pada setiap jurubahasa yang disokong.
Langkah 8: Uji dan perhati
Uji segmen statik, t-string bersarang, spesifikasi format, pengecualian, kesan sampingan __format__ dan templat yang besar. Rekod jenis nilai dan sumber templat yang ditolak tanpa mencatat kandungan interpolasi sensitif; jalankan regresi keselamatan khusus konteks pada output.
Pertukaran dan sempadan
Pemprosesan berstruktur berbanding penggabungan mudah
Struktur membantu apabila sempadan memerlukan pengauditan, penyetempatan atau pelbagai sasaran output. Skrip teks biasa satu kali adalah lebih mudah dengan f-string. Pilih mengikut risiko dan penggunaan semula daripada meletakkan setiap rentetan melalui saluran paip templat.
Pemformatan fleksibel berbanding jenis yang boleh diramal
Membenarkan __format__ sewenang-wenangnya adalah ekspresif tetapi memperkenalkan kesan sampingan dan perubahan jenis. Perender yang dikongsi harus menyekat jenis, penukaran dan spesifikasi format serta mengembalikan ralat yang boleh didiagnosis untuk nilai yang ditolak.
Objek templat berbanding rentetan akhir
Template berguna di dalam sempadan yang dikawal. Output akhir masih memerlukan pengesahan khusus destinasi sebelum menghantar, menyimpan atau melaksanakannya; ia bukan token keselamatan yang telah dikodkan.
Latih tubi kegagalan dan pelan evolusi
Pelepasan HTML dipintas
Berikan interpolasi __str__ tersuai yang mengembalikan markup dan sahkan bahawa penukaran str biasa adalah tidak selamat. Gantikannya dengan pengekodan konteks dan tambah regresi nilai berniat jahat.
Spesifikasi format membangkitkan ralat
Gunakan spesifikasi yang tidak disokong dan objek yang mana __format__ membangkitkan pengecualian. Pemproses harus mengenal pasti interpolasi dan menolak render daripada mengembalikan output separa.
Jurubahasa lama menjalankan modul
Mulakan modul yang sama pada Python 3.13. Pemeriksaan versi harus menghasilkan ralat yang jelas atau memilih pelaksanaan keserasian yang eksplisit dan bukannya menangguhkan kegagalan sintaks kepada pengeluaran.
Kesilapan biasa dan tindakan susulan
Kesilapan 1: Menganggap t-strings melepaskan aksara secara automatik
Tindakan susulan: Apakah yang diselesaikannya? Ia mengekalkan struktur supaya dasar boleh dijalankan sebelum bergabung; keselamatan SQL dan HTML masih tergolong dalam API khusus.
Kesilapan 2: Menganggap ungkapan interpolasi tidak pernah berjalan
Tindakan susulan: Bilakah ia dinilai? Ia berjalan semasa membina t-string, jadi templat yang tidak dipercayai tidak memperoleh persekitaran kotak pasir (sandboxing) daripada sintaks ini.
Kesilapan 3: Memperlakukan repr sebagai pengekodan yang selamat
Tindakan susulan: Mengapa tidak? repr ialah perwakilan penyahpepijatan dan tidak menjamin peraturan pengekodan medan HTML, SQL, Shell atau log.
Tindakan susulan lanjutan dan contoh jawapan
Patutkah t-strings menggantikan setiap f-string?
Tidak. Struktur ini hanya berguna pada sempadan yang memeriksa atau mengubah interpolasi sebelum bergabung; teks biasa biasa boleh kekal sebagai f-string.
Bagaimanakah anda membina perender SQL?
Jangan jana rentetan SQL. Petakan segmen statik dan nilai kepada pemegang tempat pemacu, ikat nilai melalui pemacu dan gunakan templat hanya untuk menerangkan struktur pernyataan.
Bagaimanakah anda menyokong versi Python yang lebih lama?
Semak masa jalan, gunakan string.templatelib pada 3.14, dan gunakan pelaksanaan sedia ada atau ralat tidak disokong yang eksplisit pada versi yang lebih lama. Sahkan perbezaan semantik dengan suite ujian keselamatan yang sama.