Django，允许用户使用embed / object html和XSS保护

Question

对于我正在构建的网站，我希望用户能够为视频和音频网站提供嵌入代码。我知道这会带来安全风险，所以我想在Django中找出如何最好地过滤所提供的html，以便只允许某些标签和某些网站。

有没有人提到我如何用Django实现这个目标？

Answer 1

您最好使用lightweight markup language然后转换为HTML。这可以防止他们玩游戏来绕过任何HTML检查。完全正确地检查HTML的“陷阱”是非常困难的。

这样做的方式来自的学校，禁止明确允许。