用于呈现HTML子集的Django模板标记

有 removetags 但这是一种黑名单方法,当标签看起来与Django所期望的格式不完全一致时,它无法删除标签,当然,由于它不尝试删除属性,因此它完全容易受到1000种其他不涉及 <script> 标签。这是一个陷阱,提供了安全的假象,但实际上根本没有提供真正的安全。

基于regex黑客技术的HTML消毒方法几乎不可避免地会彻底失败。使用一个真正的HTML解析器为提交的内容获取一个对象模型,然后以已知良好的格式过滤和重新序列化,通常是最可靠的方法。

如果富文本编辑器输出XHTML很简单,只需使用minidom或etree解析文档,然后遍历它,删除所有已知良好的元素和属性,最后转换回安全的XML。另一方面,如果它吐出HTML,或者允许用户输入原始HTML,那么您可能需要在它上面使用一些类似于beautifulsoup的东西。见 this question 进行讨论。

筛选HTML是一个大而复杂的主题,这就是为什么许多人喜欢使用限制性标记语言的文本。

使用HTML净化程序、HTML5lib或其他为执行HTML清理而构建的库。

你可以使用 removetags 要指定要删除的标记列表,请执行以下操作:

{{ data|removetags:"script" }}