Django模板：实现HTML标签安全白名单与XSS防护-html教程-PHP中文网

Django模板：实现HTML标签安全白名单与XSS防护

心靈之曲

发布： 2025-10-31 12:49:28

原创

461人浏览过

Django模板：实现HTML标签安全白名单与XSS防护

本教程旨在解决在django模板中安全地展示用户输入html内容的挑战，即只允许特定的html标签（如`br`, `italic`, `strong`, `ul`, `li`）出现，同时有效防范跨站脚本（xss）攻击。我们将详细介绍如何利用python的`bleach`库实现精细的html标签白名单过滤，确保内容显示既符合业务需求又兼顾安全性。

在Web应用开发中，允许用户输入HTML内容并将其直接渲染到页面上是一个常见的需求，例如富文本编辑器或评论系统。然而，直接使用Django模板的|safe过滤器虽然能将HTML标记为安全并避免转义，但这种做法存在严重的安全隐患。|safe过滤器会允许所有HTML标签，包括恶意脚本（如<script>标签），从而使应用容易遭受跨站脚本（XSS）攻击。XSS攻击可能导致用户会话劫持、数据泄露或网站内容篡改。

为了在满足业务需求的同时保障安全性，我们需要一种机制来严格控制允许显示的HTML标签，即实现一个HTML标签的白名单过滤。

引入 bleach 库进行内容净化

bleach 是一个强大的Python库，由Mozilla开发，专门用于从不受信任的字符串中清除HTML标签和属性，使其可以安全地在浏览器中显示。它通过明确的白名单机制工作，这意味着只有明确允许的标签和属性才会被保留，其他所有内容都将被移除或转义。

安装 bleach

首先，您需要通过pip安装bleach库：

立即学习“前端免费学习笔记（深入）”；

pip install bleach

登录后复制

定义允许的HTML标签

bleach 的核心功能之一是允许您精确定义哪些HTML标签是安全的。这通过一个简单的列表来实现。例如，如果您的需求是只允许<br>, <i> (或italic), <strong>, <ul> 和 <li> 标签，您可以这样定义：

ALLOWED_TAGS = ['br', 'i', 'strong', 'ul', 'li']
# 注意：HTML标签通常是小写，bleach会自动处理大小写。
# 'italic'在HTML中是<i>，这里我们直接使用'i'

登录后复制

使用 bleach.clean() 进行内容净化

定义了允许的标签列表后，就可以使用 bleach.clean() 方法来处理用户输入的内容。这个方法会遍历输入字符串，移除所有不在 tags 参数中指定的标签。

import bleach

# 定义允许的标签列表
ALLOWED_TAGS = ['br', 'i', 'strong', 'ul', 'li']

# 示例用户输入，包含允许和不允许的标签
user_input = '<p>这是一个 <strong>示例</strong>，其中包含<i>一些</i>文本和<script>alert("XSS");</script>。</p><ul><li>列表项1</li><li>列表项2</li></ul><br>'

# 使用bleach.clean()进行净化
cleaned_user_input = bleach.clean(user_input, tags=ALLOWED_TAGS)

print("原始输入：")
print(user_input)
print("\n净化后的输出：")
print(cleaned_user_input)

登录后复制

运行上述代码，您将得到如下输出：

原始输入：
<p>这是一个 <strong>示例</strong>，其中包含<i>一些</i>文本和<script>alert("XSS");</script>。</p><ul><li>列表项1</li><li>列表项2</li></ul><br>

净化后的输出：
这是一个 <strong>示例</strong>，其中包含<i>一些</i>文本和。<ul><li>列表项1</li><li>列表项2</li></ul><br>

登录后复制

从输出中可以看出，<p> 标签和 <script> 标签都被成功移除了，而 <strong>, <i>, <ul>, <li> 和 <br> 标签则被保留。

在Django中集成 bleach

在Django应用中，您可以将 bleach 集成到视图逻辑中，或者创建一个自定义的模板过滤器。

AiPPT模板广场

AiPPT模板广场-PPT模板-word文档模板-excel表格模板

查看详情

方法一：在视图中处理数据

这是最推荐的做法，因为它确保了在数据保存到数据库或传递到模板之前，内容就已经被净化。

# views.py
from django.shortcuts import render
import bleach

ALLOWED_TAGS = ['br', 'i', 'strong', 'ul', 'li']

def display_user_content(request):
    raw_content = request.POST.get('user_html_input', '') # 假设从表单获取

    # 净化用户输入
    cleaned_content = bleach.clean(raw_content, tags=ALLOWED_TAGS)

    # 将净化后的内容传递给模板
    context = {'display_content': cleaned_content}
    return render(request, 'my_template.html', context)

# my_template.html
<!DOCTYPE html>
<html>
<head>
    <title>用户内容展示</title>
</head>
<body>
    <h1>用户生成内容</h1>
    <div>
        {{ display_content|safe }} {# 注意：这里仍然需要|safe，因为内容已经被bleach净化，现在是安全的 #}
    </div>
</body>
</html>

登录后复制

方法二：创建自定义模板过滤器

如果您希望在模板层面进行净化（例如，在展示数据库中未净化的旧数据时），可以创建自定义模板过滤器。

# myapp/templatetags/bleach_filters.py
from django import template
import bleach

register = template.Library()

ALLOWED_TAGS = ['br', 'i', 'strong', 'ul', 'li']
# 您还可以定义允许的属性，例如：
# ALLOWED_ATTRIBUTES = {
#     '*': ['class', 'id'], # 允许所有标签有class和id属性
#     'a': ['href', 'title'], # 允许a标签有href和title属性
# }

@register.filter(name='bleach_clean')
def bleach_clean_filter(value):
    """
    使用bleach库净化HTML内容，只保留白名单中的标签。
    """
    if not isinstance(value, str):
        return value
    return bleach.clean(value, tags=ALLOWED_TAGS) #, attributes=ALLOWED_ATTRIBUTES)

登录后复制

然后在您的模板中加载并使用这个过滤器：

{% load bleach_filters %}

<!DOCTYPE html>
<html>
<head>
    <title>用户内容展示</title>
</head>
<body>
    <h1>用户生成内容</h1>
    <div>
        {{ user_raw_content|bleach_clean|safe }}
    </div>
</body>
</html>

登录后复制

请注意，即使使用了 bleach_clean 过滤器，最终在模板中显示时，仍然需要加上 |safe 过滤器，因为 bleach 返回的是一个普通的字符串，Django模板引擎默认会对其进行HTML转义。|safe 告诉Django这个字符串已经被净化，可以安全地渲染为HTML。

注意事项与最佳实践

始终优先在后端净化： 最佳实践是在数据保存到数据库之前或从数据库读取后、渲染到模板之前，在视图或模型层进行内容净化。这确保了数据库中存储的是干净的数据。
明确的白名单策略： 仔细考虑您的应用需要哪些HTML标签和属性，并只将它们添加到白名单中。任何未明确允许的都应该被移除。bleach 默认会移除所有属性，如果您需要允许特定属性（例如 <a> 标签的 href），需要通过 attributes 参数显式指定。
不仅仅是标签： bleach 不仅可以过滤标签，还可以过滤HTML属性 (attributes 参数) 和 CSS 样式 (styles 参数)。对于更复杂的富文本场景，这些功能非常有用。
结合其他安全措施： bleach 是XSS防护的重要一环，但并非唯一手段。它应该与其他安全措施结合使用，例如输入验证、输出编码、内容安全策略（CSP）等，以构建一个多层次的安全防御体系。
性能考虑： 对于处理大量或非常大的HTML字符串，bleach 的净化操作可能会有轻微的性能开销。在大多数Web应用场景中，这种开销通常可以忽略不计。