Django, позволяющий пользователю использовать html-код embed / object и защиту XSS

Question

Для сайта, который я создаю, я бы хотел, чтобы пользователи могли предоставлять встраиваемые коды для видео и аудио сайтов. я знаю, что это создает угрозу безопасности, поэтому я хотел выяснить, как в Django лучше всего отфильтровать предоставленный html, чтобы разрешались только определенные теги и определенные сайты.

У кого-нибудь есть ссылки на то, как я могу сделать это с помощью Django?

Answer 1

Вам может быть лучше использовать облегченный язык разметки и затем конвертировать в HTML. Это мешает им играть в игры, чтобы обойти любую проверку HTML, которую вы делаете. Полностью и правильно проверить HTML для «gotchas» очень сложно.

Делать это таким образом можно из школы То, что прямо не разрешено, запрещено .