Article View: pl.comp.lang.python
Article #27585Re: [django] Wpuszczanie whitelistowane tagi HTML w inpucie
From: Adam Przybyla
Date: Mon, 05 Jul 2010 20:58
Date: Mon, 05 Jul 2010 20:58
15 lines
1614 bytes
1614 bytes
Marek <marek@octogan.usun.net> wrote: > Witam, > > Z tego co wiem Django ma automatyczny mechanizm uniemożliwiający > (utrudniający?) ataki typu XSS. Czy jednak jest mozliwość wybiórczego > whitelistowania tagów np. HTML'a, które chcałbym aby były były > interpretowane przez przeglądarke. Dla przykładu chciałbym aby tagi z > inputu który poda user, typu <b></b>, <i></i> nie były escape'owane a > tekst był rzeczywiście pogrubiony, kursywą etc. Ale żeby kwiatki typu > <script> alert(1) </script> > były wyświetlane jako: <script> alert(1) </script> (czyli już > normalne autoescape) ... tworcy zalecaja poprawki frameworka;-) Poszukaj odpowiedniego kawalka, jest dosc dobrze udokumentowany;-) Z powazaniem Adam Przybyla
Technical Details
Message-ID:
<i0th1r$9kc$1@polsl.pl>Path:
mbox-mo1.pugleaf.net!news-archive.icm.edu.pl!news.icm.edu.pl!polsl.pl!not-for-mailReferences:
<i0ta2p$u05$1@news.onet.pl>Show Full Headers
Complete Article Headers
Path: mbox-mo1.pugleaf.net!news-archive.icm.edu.pl!news.icm.edu.pl!polsl.pl!not-for-mail
From: Adam Przybyla <adam@rybnik.pl>
Newsgroups: pl.comp.lang.python
Subject: Re: [django] Wpuszczanie whitelistowane tagi HTML w inpucie
Date: Mon, 5 Jul 2010 20:58:35 +0000 (UTC)
Organization: Politechnika Slaska, Gliwice
Lines: 15
Sender: Adam Przybyla <adam@smtp.ertel.com.pl>
Message-ID: <i0th1r$9kc$1@polsl.pl>
References: <i0ta2p$u05$1@news.onet.pl>
NNTP-Posting-Host: smtp.ertel.com.pl
Mime-Version: 1.0
X-Trace: polsl.pl 1278363515 9868 62.182.231.178 (5 Jul 2010 20:58:35 GMT)
X-Complaints-To: news@polsl.pl
NNTP-Posting-Date: Mon, 5 Jul 2010 20:58:35 +0000 (UTC)
User-Agent: tin/1.8.3-20070201 ("Scotasay") (UNIX) (Linux/2.6.18-164.15.1.el5xen (i686))
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit