在Django中为富文本字段使用安全过滤器

Question

我正在对Django表单中的文本区域文件使用TinyMCE编辑器。

现在，为了将富文本显示回用户，我不得不在Django模板中使用“安全”过滤器，以便在浏览器上显示HTML富文本。

假设在用户浏览器上禁用了JavaScript，TinyMCE将不会加载，用户可以从这样的textarea字段传递<script>或其他XSS标记。这样的HTML将不安全地显示回用户。

如何处理这种不安全的HTML文本，而不是来自TinyMCE？

Answer 1

使用django-bleach。这为您提供了一个bleach模板过滤器，允许您筛选出所需的标记：

{% load bleach_tags %}
{{ mymodel.my_html_field|bleach }}

诀窍是将编辑器配置为生成与您愿意在漂白剂设置中“通过”相同的标记。

以下是我的漂白设置示例：

# Which HTML tags are allowed
BLEACH_ALLOWED_TAGS = ['p', 'h3', 'h4', 'em', 'strong', 'a', 'ul', 'ol', 'li', 'blockquote']
# Which HTML attributes are allowed
BLEACH_ALLOWED_ATTRIBUTES = ['href', 'title', 'name']
BLEACH_STRIP_TAGS = True

然后，您可以将TinyMCE（或您正在使用的任何所见即所得编辑器）配置为只有创建允许标记的按钮。