前言
在 Web 开发中，模板引擎是一个非常常用的工具。它可以让我们更加方便地渲染数据并展示在前端页面上，同时还可以避免一些 XSS 攻击等 Web 安全问题。在 Node.js 中，有很多优秀的模板引擎可供选择，如 EJS、Pug、Handlebars 等，而本文要介绍的就是基于 Handlebars 的 express-secure-handlebars 包。
安装
在使用 express-secure-handlebars 之前，我们首先需要将其安装到我们的项目中。打开终端，进入项目根目录并输入以下命令：
npm install express-secure-handlebars
使用
安装完成后，我们就可以在项目中使用 express-secure-handlebars 了。下面是一个简单的示例：
-- -------------------- ---- -------
----- ------- - -------------------
----- --- - -------------------------------------
----- --- - ----------
----------------- -----
-------------- -------
-------- ------
----------- --------- - ------------------
------------ --------- - -------------------
-------- -
---- -------- -- -
------ ------
-
-
----
------------- -------- -------
------------ ----- ---- -- -
------------------ -
------ -------
-------- -------- -- -- ---------
---
---
---------------- -- -- ------------------- --------- -- ---- -----------可以看到，这段代码中我们首先引入了 express 和 express-secure-handlebars 两个包，然后使用 app.engine() 方法来注册 Handlebars 引擎，并设置了一些参数。接着，我们使用 app.set() 方法来设定默认的视图引擎，并定义了一个路由以渲染首页视图。最后，我们调用了 app.listen() 方法来启动服务器。
参数
在上面的示例代码中，我们在 app.engine() 方法中传入了一些参数。下面是 express-secure-handlebars 所能够支持的所有参数：
defaultLayout：指定默认布局文件的文件名，默认值为undefined；extname：指定模板文件的扩展名，默认值为.handlebars；layoutsDir：指定存放布局文件的目录，默认值为process.cwd() + '/views/layouts/'；partialsDir：指定存放局部视图文件的目录，默认值为process.cwd() + '/views/partials/'；helpers：指定应用程序范围内可用的辅助函数。默认为一个空对象。
除此之外，还支持其他 Handlebars 引擎所支持的参数，如 data, partialsToIterate, compilerOptions 等。
安全性
express-secure-handlebars 主要的一个特点就是提供了对 Handlebars 模板引擎的安全封装。通过使用它，我们可以避免常见的 XSS 攻击。
为了实现这一点，express-secure-handlebars 对渲染的字符串进行了过滤。它使用了 Google 的 Caja 编译器将模板转换成安全的 HTML 代码，这样就可以避免一些潜在的安全问题。此外，还可以使用安全渲染标记，比如 {{{safe}}} 等，来手动地指定某些 HTML 片段是安全的。
结论
通过本文，我们了解了如何使用 express-secure-handlebars，以及该包的一些主要特点和参数。在 Web 开发中，安全性一直是很重要的问题，而 express-secure-handlebars 提供了一种便捷的方式来解决一些常见的安全问题。如果您还没有尝试过这个包，我们强烈建议您考虑使用它来增强您的应用程序的安全性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/600672683660cf7123b36636