elementtree 默认不支持 cdata，所有文本均被自动转义；python 3.8+ 可通过重写 _serialize_xml 钩子注入 cdata，需自定义类型标记并注册序列化器，且须预处理内容中的 ]]> 避免解析错误。

python xml.etree.elementtree cdata 写入cdata区段的方法

ElementTree 默认不支持 CDATA，写进去的内容会被转义

ElementTree 的设计哲学是把 XML 当成数据结构处理，不是文本模板引擎。它没有原生 CDATA 支持，xml.etree.ElementTree 所有文本内容（包括 element.text 和 element.tail）都会被自动转义：比如 <script></script> 变成 <script>，]]> 本身也保不住——你塞进去的字符串只是普通文本，序列化时照样被扫一遍。

常见错误现象：
– 直接赋值 elem.text = "hello]]>"，结果输出是 <![CDATA[<div>hello</div>]]>
– 用 etree.tostring() 看到的是双重转义的垃圾

这不是 bug，是设计使然。想绕过转义，得干预序列化过程本身。

用 _serialize_xml 钩子注入 CDATA（Python 3.8+ 安全方案）

Python 3.8 起，xml.etree.ElementTree 允许通过注册自定义序列化器来接管特定标签的输出逻辑。这是目前最干净、不破坏 ElementTree 正常行为的方式。

实操建议：

定义一个标记 CDATA 内容的特殊文本对象（比如用 type 区分），避免污染原始字符串
重写 _serialize_xml 函数，在遇到该类型时跳过转义，直接输出
必须用 register_namespace 或显式设置 default_namespace 避免命名空间干扰
调用 etree.tostring() 时传入 method="xml"（默认就是），否则钩子不触发

示例关键片段：

from xml.etree import ElementTree as ET
<p>class CDATA:
def <strong>init</strong>(self, text):
self.text = text</p><p>def _serialize_cdata(write, elem, qnames, namespaces, short_empty_elements):
if isinstance(elem.text, CDATA):
write("")
else:</p><h1>fallback to default</h1><pre class="brush:php;toolbar:false;">    _original_serialize(write, elem, qnames, namespaces, short_empty_elements)

替换内置序列化器（仅影响当前 etree 模块）

_original_serialize = ET._serialize_xml ET._serialize_xml = _serialize_cdata

使用

root = ET.Element("root") child = ET.SubElement(root, "content") child.text = CDATA("<script>alert(1)</script>") print(ET.tostring(root, encoding="unicode"))