Django模板中安全地过滤特定HTML标签：使用Bleach库实现内容白名单

pip install bleach

import bleach

# 定义允许的HTML标签白名单
# 注意：bleach默认会移除所有不在白名单中的标签及其内容，
# 但可以通过指定strip=False来保留标签内容，只移除标签本身。
ALLOWED_TAGS = ['br', 'i', 'strong', 'ul', 'li']

# 示例用户输入，包含允许和不允许的标签，以及潜在的恶意脚本
user_input = """
<p>这是一个 <strong>示例</strong> 内容，包含 <i>斜体</i> 和 <br> 换行。</p>
<script>alert("XSS");</script>
<ul>
    <li>列表项1</li>
    <li>列表项2</li>
</ul>
<a href="javascript:alert('evil');">点击我</a>
"""

# 使用bleach.clean()进行过滤
# tags参数接受一个列表，指定允许的HTML标签
# strip参数默认为True，表示移除不允许的标签及其内容。
# 如果想保留内容，只移除标签本身，可以设置为False。
cleaned_user_input = bleach.clean(user_input, tags=ALLOWED_TAGS, strip=True)

print("--- 原始输入 ---")
print(user_input)
print("\n--- 过滤后的输出 ---")
print(cleaned_user_input)

--- 原始输入 ---

<p>这是一个 <strong>示例</strong> 内容，包含 <i>斜体</i> 和 <br> 换行。</p>
<script>alert("XSS");</script>
<ul>
    <li>列表项1</li>
    <li>列表项2</li>
</ul>
<a href="javascript:alert('evil');">点击我</a>

--- 过滤后的输出 ---

这是一个 <strong>示例</strong> 内容，包含 <i>斜体</i> 和 <br> 换行。

<ul>
    <li>列表项1</li>
    <li>列表项2</li>
</ul>

# your_app/views.py
from django.shortcuts import render
import bleach

ALLOWED_TAGS = ['br', 'i', 'strong', 'ul', 'li']

def display_user_content(request):
    user_raw_html = request.POST.get('content', '') # 假设从POST请求获取

    # 在传递给模板之前进行清洗
    cleaned_html = bleach.clean(user_raw_html, tags=ALLOWED_TAGS, strip=True)

    context = {
        'safe_content': cleaned_html
    }
    return render(request, 'your_template.html', context)

<!-- your_template.html -->
<div>
    <h3>用户提交内容：</h3>
    {{ safe_content|safe }} {# 此时使用|safe是安全的，因为内容已经过bleach清洗 #}
</div>

# your_app/templatetags/my_filters.py
from django import template
import bleach

register = template.Library()

ALLOWED_TAGS_FOR_CONTENT = ['br', 'i', 'strong', 'ul', 'li']
# 也可以定义其他用途的标签列表，例如评论区可以允许更少的标签

@register.filter
def bleach_html(value):
    """
    使用bleach清洗HTML内容，只保留预定义的安全标签。
    """
    if not isinstance(value, str):
        return value
    return bleach.clean(value, tags=ALLOWED_TAGS_FOR_CONTENT, strip=True)

# 如果需要更灵活的标签控制，可以考虑传入标签列表作为参数
# 但模板过滤器传参通常只支持一个，复杂场景建议在视图中处理
# @register.filter
# def bleach_html_with_tags(value, tags_str):
#     if not isinstance(value, str):
#         return value
#     allowed_tags = [tag.strip() for tag in tags_str.split(',')]
#     return bleach.clean(value, tags=allowed_tags, strip=True)

<!-- your_template.html -->
{% load my_filters %}

<div>
    <h3>用户提交内容：</h3>
    {# 假设 user.profile.bio 包含用户输入的HTML #}
    {{ user.profile.bio|bleach_html|safe }} {# 先清洗，再标记为安全 #}
</div>