django安全模板过滤器定制

Question

我正在为用户 cmets 回复使用富文本编辑器。但我需要限制用户在文本编辑器中输入的 html 标签，以避免 xss 攻击。

我知道safe 模板过滤器是最佳选择。 但作为一个例子，我只接受一些标签，比如 <p>,<a>,<h3> 而不是 img,script,... 。问题是safe过滤器接受所有的html标签。

我正在寻找这样的东西：

{{user.reply|safe:'<p>,<h3>,<a>'}}

哪个回复是客户端的富文本 html 标签。 而safe flter 只接受p,a,h3 标签。

我，我使用 froala 富文本编辑器，而且我知道限制文本编辑器选项。但是如果用户尝试插入一些<script> 标签，它就无法理解。

如何自定义safe 过滤器？或者哪个过滤器更适合这项工作？

Answer 1

你应该为此写custom filter

可以安装使用BeautifulSoup

from bs4 import BeautifulSoup
from django import template

register = template.Library()

@register.filter(name='includeHtmlTags')
def includeHtmlTags(value, arg):
    include=arg.split(",")
    soup=BeautifulSoup(text, 'html.parser')
    return_value=''
    for tag in include:
        for i in soup.findAll(tag):
            return_value += i
    return return_value

在您的模板中加载顶部的{% load includeHtmlTags %}

并像{{user.reply|includeHtmlTags:'p,h3,a'}}一样使用