本文介绍如何在django应用中安全地处理用户输入的html内容，仅允许特定的html标签（如`
`, ``, `
引言：处理用户输入HTML的挑战
在Web应用开发中，允许用户输入并显示HTML内容是一个常见的需求，例如富文本编辑器中的用户评论、文章内容等。然而，直接将用户输入的HTML渲染到页面上存在严重的安全风险，最主要的就是跨站脚本（XSS）攻击。恶意用户可能会注入<script>标签或其他有害代码，窃取用户信息或破坏页面功能。
Django的模板系统提供了|safe过滤器，可以将字符串标记为“安全”，从而跳过HTML转义。但这会将所有HTML内容视为安全，包括潜在的恶意代码，因此不适用于处理未经严格清理的用户输入。我们的目标是既能保留用户输入中允许的特定HTML标签以实现格式化，又能彻底移除或转义所有不被允许的标签，从而达到安全与灵活性的平衡。
解决方案：使用 bleach 库
为了实现对用户输入HTML的选择性清理，我们可以借助bleach库。bleach是一个由Mozilla开发的Python HTML清理和白名单库，它允许开发者精确控制哪些HTML标签、属性和样式可以被保留，而将其他所有内容移除或转义。
1. 安装 bleach
首先，确保你的Python环境中安装了bleach库。你可以通过pip进行安装：
立即学习“前端免费学习笔记（深入）”；
pip install bleach
2. 定义允许的HTML标签白名单
bleach的核心思想是基于白名单机制。你需要明确指定一个允许的HTML标签列表。任何不在这个列表中的标签都将被移除。
例如，根据我们的需求，只允许<br>, <italic>, <strong>, <ul>, <li>这五种标签，我们可以这样定义白名单：
# 定义允许的HTML标签列表 ALLOWED_TAGS = ['br', 'italic', 'strong', 'ul', 'li']
3. 清理用户输入HTML
定义好白名单后，就可以使用bleach.clean()方法来清理用户输入的HTML字符串了。这个方法会遍历输入的HTML，并根据tags参数（即我们的白名单）移除所有不允许的标签。
以下是一个示例，展示了如何清理包含多种标签的用户输入：
import bleach
# 定义允许的HTML标签列表
ALLOWED_TAGS = ['br', 'italic', 'strong', 'ul', 'li']
# 模拟用户输入，包含允许和不允许的标签，以及潜在的XSS脚本
user_input = """
<p>这是一个<strong>示例</strong>，包含<italic>斜体</italic>和<br>换行符。</p>
<ul>
<li>列表项1</li>
<li>列表项2</li>
</ul>
<script>alert("XSS攻击！");</script>
<a href="javascript:alert('恶意链接')">点击这里</a>
"""
# 使用bleach.clean()方法清理用户输入
# tags参数指定了允许的标签白名单
cleaned_user_input = bleach.clean(user_input, tags=ALLOWED_TAGS)
print("原始输入：")
print(user_input)
print("\n清理后的输出：")
print(cleaned_user_input)运行上述代码，你会看到p标签、script标签和a标签（及其属性）都被移除了，只保留了白名单中允许的标签及其内容：
原始输入：
<p>这是一个<strong>示例</strong>，包含<italic>斜体</italic>和<br>换行符。</p>
<ul>
<li>列表项1</li>
<li>列表项2</li>
</ul>
<script>alert("XSS攻击！");</script>
<a href="javascript:alert('恶意链接')">点击这里</a>
清理后的输出：
这是一个<strong>示例</strong>，包含<italic>斜体</italic>和<br>换行符。
<ul>
<li>列表项1</li>
<li>列表项2</li>
</ul>
点击这里请注意，<a>标签本身被移除，但其内部文本“点击这里”被保留。这是bleach的默认行为，它会尝试保留标签内的文本内容。
4. 在Django模板中集成
当数据经过bleach清理后，它已经是安全的HTML。此时，你可以将清理后的数据传递给Django模板，并在模板中使用|safe过滤器进行渲染，因为我们已经确保了内容的安全性。
在Django视图中处理：
# views.py
import bleach
from django.shortcuts import render
ALLOWED_TAGS = ['br', 'italic', 'strong', 'ul', 'li']
def display_user_content(request):
raw_html_content = request.POST.get('user_html_input', '') # 假设从表单获取
# 在将数据传递给模板之前进行清理
cleaned_html_content = bleach.clean(raw_html_content, tags=ALLOWED_TAGS)
context = {
'display_content': cleaned_html_content
}
return render(request, 'your_template.html', context)在Django模板中渲染：
<!-- your_template.html -->
<!DOCTYPE html>
<html>
<head>
<title>用户内容展示</title>
</head>
<body>
<h1>用户提交内容</h1>
<div>
{{ display_content|safe }}
</div>
</body>
</html>注意事项
- 白名单原则： 始终坚持白名单原则。只允许你明确知道是安全且必需的标签和属性，而不是尝试黑名单禁止所有已知的恶意标签。
- 属性和样式： bleach.clean()方法还提供了attributes和styles参数，允许你进一步控制标签的属性（例如<a>标签的href属性）和CSS样式。这对于更复杂的富文本场景至关重要。例如，如果你想允许<a>标签，你还需要指定允许的属性：bleach.clean(html, tags=['a'], attributes={'a': ['href', 'title']})。
- 数据存储与清理时机： 建议在数据存储到数据库之前就进行清理。这样可以确保数据库中存储的数据本身就是安全的。如果需要在显示时进行清理，则每次渲染前都需要执行清理操作。
- 错误处理与用户反馈： 考虑如何处理被移除的内容。是否需要向用户提示某些内容因安全原因被移除？
- 与其他库的集成： bleach可以与富文本编辑器（如TinyMCE、CKEditor）结合使用，在用户提交内容时进行二次安全验证。
总结
在Django应用中安全地处理用户输入的HTML内容是一项关键任务。通过利用bleach库，我们可以轻松实现HTML标签的选择性清理，只保留白名单中允许的标签，同时有效防范XSS等安全威胁。这种方法提供了一个强大且灵活的机制，既能满足用户对内容格式化的需求，又能确保Web应用的安全性和稳定性。在实际开发中，务必根据具体需求，细致配置bleach的白名单规则，以达到最佳的安全实践。
