相关疑难解决方法(0)

我有一个包含文本和HTML的字符串.我想删除或以其他方式禁用某些HTML标记,例如<script>,允许其他人,以便我可以安全地在网页上呈现它.我有一个允许的标签列表,如何处理字符串以删除任何其他标签？

是否有一个良好的,积极维护的python库可用于过滤恶意输入,如XSS？

我已经阅读了一些相关的问题div contenteditable, XSS，但它的答案并没有强调太多关于 contenteditable 的 XSS 安全性。特别是关于意外（与故意跨站点脚本相比）。我当然知道我应该清理用户输入服务器端。

博士 ：我可以确定用户不会冒险通过正在设置的页面元素引入一些外部脚本（即通过从剪贴板粘贴的数据）contenteditable？规范是否确保粘贴到 contenteditable 的任何标记在插入到 DOM 之前都经过清理？

我注意到在我测试的两个主要浏览器 Chromium/Chrome 和 Firefox 上，似乎不可能意外地将活动元素 插入contenteditable标签中。例如，我想象的这种附加插入的示例：

• 用户从一个网页复制一组 DOM 元素，并将它们插入到contenteditable另一个站点上的元素中。
• 用户执行（在 linux 命令行上）echo "<b onclick='alert("XSS");'>click me</b>" | xclip -t text/html -selection "clipboard"并将其粘贴到contenteditable.

一个活动元素可能是这样的：

• 包含一个的 html 标记 <script>
• 包含带有内联处理程序的元素的 html 标记，例如 onclick="alert(\"XSS\");"
• 包含 javascript hrefs 的 html 标记，例如 <a href="javascript:alert(\"XSS\")"> click me </a>

现在我的问题是，如果这是设计使然，那么看到 contenteditable 似乎可以避免粘贴任何正常的 XSS 向量？

我已经阅读了一些规范/参考资料/无论它没有明确提到contenteditable应该阻止任何活动元素 …