[django] Wpuszczanie whitelistowane tagi HTML w inpucie

Article View: pl.comp.lang.python

Article #27576

Back to pl.comp.lang.python Previous Next

#27576

From: Marek
Date: Mon, 05 Jul 2010 18:59

15 lines
1274 bytes

Witam,

Z tego co wiem Django ma automatyczny mechanizm uniemożliwiający 
(utrudniający?) ataki typu XSS. Czy jednak jest mozliwość wybiórczego 
whitelistowania tagów np. HTML'a, które chcałbym aby były były 
interpretowane przez przeglądarke. Dla przykładu chciałbym aby tagi z 
inputu który poda user, typu <b></b>, <i></i> nie były escape'owane a 
tekst był rzeczywiście pogrubiony, kursywą etc. Ale żeby kwiatki typu 
<script> alert(1) </script> 
były wyświetlane jako: &lt;script&gt; alert(1) &lt;/script&gt; (czyli już 
normalne autoescape)

pozdrawiam

Marek

Technical Details

Message-ID: <i0ta2p$u05$1@news.onet.pl>

Path: mbox-mo1.pugleaf.net!news-archive.icm.edu.pl!news.rmf.pl!agh.edu.pl!news.agh.edu.pl!news.onet.pl!not-for-mail

Show Full Headers

Complete Article Headers

Path: mbox-mo1.pugleaf.net!news-archive.icm.edu.pl!news.rmf.pl!agh.edu.pl!news.agh.edu.pl!news.onet.pl!not-for-mail
From: Marek <marek@octogan.usun.net>
Newsgroups: pl.comp.lang.python
Subject: [django] Wpuszczanie whitelistowane tagi HTML w inpucie
Date: Mon, 5 Jul 2010 18:59:37 +0000 (UTC)
Organization: http://onet.pl
Lines: 15
Message-ID: <i0ta2p$u05$1@news.onet.pl>
NNTP-Posting-Host: chello089074013072.chello.pl
Mime-Version: 1.0
X-Trace: news.onet.pl 1278356377 30725 89.74.13.72 (5 Jul 2010 18:59:37 GMT)
X-Complaints-To: niusy@onet.pl
NNTP-Posting-Date: Mon, 5 Jul 2010 18:59:37 +0000 (UTC)
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit