🚀 go-pugleaf

On Jul 5, 8:59 pm, Marek <ma...@octogan.usun.net> wrote:
> Witam,
>
> Z tego co wiem Django ma automatyczny mechanizm uniemożliwiający
> (utrudniający?) ataki typu XSS. Czy jednak jest mozliwość wybiórczego
> whitelistowania tagów np. HTML'a, które chcałbym aby były były
> interpretowane przez przeglądarke. Dla przykładu chciałbym aby tagi z
> inputu który poda user, typu <b></b>, <i></i> nie były escape'owane a
> tekst był rzeczywiście pogrubiony, kursywą etc. Ale żeby kwiatki typu
> <script> alert(1) </script>
> były wyświetlane jako: &lt;script&gt; alert(1) &lt;/script&gt; (czyli już
> normalne autoescape)
>
> pozdrawiam
>
> Marek

czesc Marek

faktycznie nie ma takiego filtru w django
- albo jest: usuwanie wszystkich tagow (striptags)
- alob usuwanie wybranych tagow (removedtags)

sprobuj sobie napisac taki filtr biorac pod uwage kod dla tych wyzej
wymienionych funkcji (ewentualnie mozna poszukac w internecie
rozwiazan (ja znalazlem takie: http://djangosnippets.org/snippets/1655/):

def removetags(value, tags):
    """Removes a space separated list of [X]HTML tags from the
output."""
    tags = [re.escape(tag) for tag in tags.split()]
    tags_re = u'(%s)' % u'|'.join(tags)
    starttag_re = re.compile(ur'<%s(/?>|(\s+[^>]*>))' % tags_re, re.U)
    endtag_re = re.compile(u'</%s>' % tags_re)
    value = starttag_re.sub(u'', value)
    value = endtag_re.sub(u'', value)
    return value
removetags.is_safe = True
removetags = stringfilter(removetags)

def striptags(value):
    """Strips all [X]HTML tags."""
    from django.utils.html import strip_tags
    return strip_tags(value)
striptags.is_safe = True
striptags = stringfilter(striptags)

def strip_tags(value):
    """Returns the given HTML with all tags stripped."""
    return re.sub(r'<[^>]*?>', '', force_unicode(value))
strip_tags = allow_lazy(strip_tags)