Как Django обрабатывает экранирование, когда я использую редактор TinyMCE?

Question

Как отобразить только выделенные жирным шрифтом, курсивом и все другие проблемы безопасности, не связанные с безопасностью на странице?

Answer 1

Дезинфекция HTML является довольно трудной задачей, чтобы получить право. Спамеры и другие неприятные люди придумывают новые способы контрабанды HTML через санитарию все время. Самый безопасный вариант - определить белый список безобидных тегов и строго отфильтровать все другие теги с помощью истинного HTML-парсера (не с регулярными выражениями).

На djangosnippets.com есть несколько шаблонных тегов и фильтров. this или this one. При выборе фильтра обратите внимание, что он использует белый список и парсер HTML, например lxml.html (предпочтительно lxml.html.clean) или BeautifulSoup.

Answer 2

Чтобы отобразить все HTML (не-вытекающее), вы можете использовать safe фильтр

{{ var|safe }} 

В вашем случае, если вы хотите избежать все, за исключением некоторых тегов, вы можете написать вам собственный фильтр, который делает это:

{{ var|mysafe }} 

Читайте об этом здесь: http://docs.djangoproject.com/en/dev/howto/custom-template-tags/

алгоритм фильтра может быть:

1. избежать все, что
2. только те экранирования в теги, которые разрешены (с помощью .replace или regilar выражения)

Answer 3

Возможно, имеет смысл настроить TinyMCE таким образом, чтобы пользователь мог вводить только те элементы, которые вы ему разрешаете. Для этого TinyMCE имеет a powerful set of rules. Если вы используете django-tinymce, см. this для настройки TINYMCE_DEFAULT_CONFIG по вашему желанию.