在django应用中，当需要用户输入html并仅允许特定标签（如`
`, ``）时，直接使用`safe`过滤器存在xss风险。本文将介绍如何利用`bleach`库，通过定义允许标签列表来安全地清洗用户输入的html，从而有效防止跨站脚本攻击，并确保只有经过授权的html内容被渲染。
用户输入HTML的挑战与安全风险
在许多Web应用中，允许用户输入富文本内容是一种常见需求，例如评论、文章正文或个人简介。如果用户被允许直接输入HTML标签，并在页面上未经处理地渲染，则会带来严重的安全隐患，最主要的就是跨站脚本攻击（XSS）。恶意用户可能注入<script>标签或其他危险的HTML结构，从而窃取用户信息、篡改页面内容甚至控制用户浏览器。
Django的模板系统默认会对所有变量进行自动转义，以防止XSS攻击。然而，当我们需要渲染合法的HTML时，可以使用|safe过滤器来禁用自动转义。问题在于，|safe过滤器会使所有HTML内容都绕过转义，这意味着如果用户输入了恶意HTML，它也会被视为“安全”并直接渲染，从而暴露应用于XSS风险。
因此，核心挑战在于：如何在允许部分HTML标签的同时，严格过滤掉所有不安全或不允许的标签，实现精细化的HTML内容控制。
解决方案：使用Bleach库进行HTML清洗
针对上述挑战，Mozilla开发的bleach是一个强大且灵活的Python库，专门用于清洗HTML并防止XSS攻击。它允许开发者定义一个明确的白名单，只保留允许的HTML标签、属性甚至CSS样式，从而确保只有安全和预期的内容被渲染。
立即学习“前端免费学习笔记（深入）”；
1. 安装Bleach库
首先，你需要将bleach库安装到你的Python环境中。这可以通过pip命令轻松完成：
pip install bleach
2. 定义允许的HTML标签白名单
bleach库的核心是其清洗功能，它依赖于一个允许的标签列表。你需要明确指定哪些HTML标签是允许用户输入的。例如，如果只允许<br>, <i>, <strong>, <ul> 和 <li> 标签，可以这样定义：
import bleach ALLOWED_TAGS = ['br', 'i', 'strong', 'ul', 'li']
注意，<i>是italic的HTML标签形式，因此在列表中应使用'i'。
3. 清洗用户输入示例
定义了允许的标签列表后，就可以使用bleach.clean()方法来清洗用户输入的HTML字符串了。该方法会移除所有不在ALLOWED_TAGS列表中的标签及其内容。
import bleach
ALLOWED_TAGS = ['br', 'i', 'strong', 'ul', 'li']
user_input = '<p>这是一个 <strong>示例</strong>，其中包含 <i>斜体</i> 和 <script>alert("XSS")</script> 标签。</p><ul><li>列表项1</li></ul>'
# 使用bleach.clean()清洗用户输入
cleaned_user_input = bleach.clean(user_input, tags=ALLOWED_TAGS)
print(cleaned_user_input)输出结果：
这是一个 <strong>示例</strong>，其中包含 <i>斜体</i> 和 列表项1
从输出可以看出，<p>标签和<script>标签及其内容都被成功移除了，而<strong>、<i>和<ul><li>标签则被保留了下来。这正是我们希望达到的效果：只保留白名单中的安全标签。
4. 在Django应用中的集成考量
在Django应用中，通常会在以下阶段使用bleach进行HTML清洗：
-
表单验证/保存数据时： 最推荐的做法是在用户提交表单数据后，将HTML内容保存到数据库之前进行清洗。这样可以确保数据库中存储的数据始终是安全的。
# forms.py 或 views.py from django import forms import bleach ALLOWED_TAGS = ['br', 'i', 'strong', 'ul', 'li'] class MyContentForm(forms.Form): content = forms.CharField(widget=forms.Textarea) def clean_content(self): data = self.cleaned_data['content'] # 在保存到数据库之前清洗HTML cleaned_data = bleach.clean(data, tags=ALLOWED_TAGS) return cleaned_data # 在视图中 def my_view(request): if request.method == 'POST': form = MyContentForm(request.POST) if form.is_valid(): # form.cleaned_data['content'] 已经是清洗过的安全HTML # 可以直接保存到模型实例中 my_model_instance.content = form.cleaned_data['content'] my_model_instance.save() # ... else: form = MyContentForm() return render(request, 'my_template.html', {'form': form}) -
模板渲染时： 如果你确定从数据库中取出的HTML内容已经通过bleach清洗过，那么在模板中渲染时，可以使用|safe过滤器来防止Django再次转义这些已经安全的HTML：
<!-- my_template.html --> <div> {{ my_model_instance.content|safe }} </div>重要提示： 只有在你百分之百确定my_model_instance.content中的HTML内容已经通过bleach等安全机制清洗过之后，才能使用|safe过滤器。
注意事项与最佳实践
- 白名单原则： bleach遵循白名单原则，即只允许明确指定的标签和属性。这是最安全的策略，因为任何未被明确允许的内容都会被移除。
- 不仅仅是标签： bleach.clean()方法还支持清洗属性（attributes参数）、样式（styles参数）甚至处理链接（linkify参数），这使得它在处理更复杂的富文本场景时非常灵活。例如，你可能需要允许<a>标签，但只允许href属性，并且只允许特定协议的链接。
- 一致性： 确保在整个应用中对用户输入HTML的处理逻辑保持一致，避免遗漏任何潜在的注入点。
- 前端验证与后端清洗结合： 虽然前端验证（如JavaScript库）可以提供更好的用户体验，但绝不能依赖前端验证来保证安全性。后端使用bleach进行严格的HTML清洗是必不可少的安全措施。
总结
在Django应用中处理用户输入的HTML时，安全性是首要考虑。直接使用|safe过滤器虽然方便，但无法有效抵御XSS攻击。通过引入bleach这样的专业HTML清洗库，我们可以实现对允许HTML标签的精细化控制，确保只有经过授权的、无害的HTML内容被渲染。遵循白名单原则，并在数据保存前进行清洗，是构建健壮和安全Web应用的关键实践。
