Python实现htmlspecialchars转义函数输出异常 如何排查修复

作为Web开发者，我们搭建的支持表单交互的网站（可承载访客发送邮件、发布评论等功能）易遭受XSS（跨站脚本）攻击：攻击者可通过表单注入携带恶意代码的script标签，实现窃取用户隐私信息、强制跳转恶意站点等破坏行为。

需实现等价于htmlspecialchars的用户输入安全过滤功能，对四类存在风险的HTML特殊字符做转义处理：

• < 转义为 <
• > 转义为 >
• " 转义为 "
• & 转义为 &

当前编写的Python实现代码如下：

def html_special_chars(data): 
    if "<" in data:
        return data.replace("<","&lt;")
    elif ">" in data:
        return data.replace(">","&gt;")
    elif '"' in data:
        return data.replace('"',"&quot;")
    else:
        return data.replace('&',"&amp;")

测试输入为<script>alert('Website Hacked!');</script>时，输出仅替换了<字符，未完成全部特殊字符的转义，与预期输出不符。

问题根因 #

这段代码存在两个核心逻辑错误：

1. 分支结构设计错误：if-elif-else是互斥执行结构，只要输入满足第一个判断条件（即包含<），就会直接执行第一个分支的return语句，后续针对>、"、&的替换逻辑完全不会触发，自然只能替换掉<字符。
2. 转义顺序逻辑错误：即便去掉互斥分支，原代码把&的替换放在最后也会产生异常——其他字符的转义结果本身就包含&（比如<转义后是<），如果最后才替换&，会把转义生成的&再次转义成&，最终得到<这类错误结果。

修正方案 #

修正时首先调整转义优先级，必须第一个处理&字符，再依次替换其余特殊字符，去掉互斥分支结构，逐次完成替换后返回结果即可：

def html_special_chars(data): 
    # 注意：&必须最先转义，避免二次转义问题
    data = data.replace("&", "&")
    data = data.replace("<", "&lt;")
    data = data.replace(">", "&gt;")
    data = data.replace('"', "&quot;")
    return data

用测试用例验证，输入<script>alert('Website Hacked!');</script>时，输出为<script>alert('Website Hacked!');</script>，完全符合转义要求。

内容的提问来源于stack exchange，提问作者FAHIM