Django项目中CKEditor输入Sanitize与XSS防护的正确性及最佳实践

问题背景 #

在Django项目中使用CKEditor允许用户提交富文本内容，测试输入alert('hello')时触发了XSS弹窗。为防范XSS，已在模型中使用Bleach库对输入进行清理，代码如下：

import bleach

def clean_html(content):
    allowed_tags = bleach.sanitizer.ALLOWED_TAGS + ['p', 'img', 'br', 'strong', 'em', 'ul', 'ol', 'li']
    allowed_attributes = {'img': ['src', 'alt', 'style'], '*': ['style']}
    return bleach.clean(content, tags=allowed_tags, attributes=allowed_attributes)

# 在模型中
def save(self, *args, **kwargs):
    self.content = clean_html(self.content)
    super().save(*args, **kwargs)

同时在模板中使用|safe过滤器渲染内容：{{ post.content|safe }}。

现咨询两个问题：

1. 这种Sanitize CKEditor输入、防范XSS的方式是否正确？
2. 在Django中安全处理用户提交的HTML内容有哪些更佳实践？

问题解答 #

1. 当前方案的正确性分析 #

你的方案整体方向是对的，但存在几个需要修正的细节：

• 属性权限风险：允许所有标签使用style属性存在安全隐患，攻击者可能通过构造恶意CSS（如style="background-image:url(javascript:alert(1))"）触发XSS，即使现代浏览器大多限制这类操作，仍有兼容风险。
• 清理时机覆盖：在模型save方法中清理是可行的，但如果有其他修改content字段的入口（比如后台表单、API接口），要确保所有路径都经过清理，避免遗漏。相比之下，在表单层做清理能更早拦截恶意内容，也更灵活。
• Bleach配置校验：当前添加的标签都是安全的，但后续如果新增<svg>、<math>这类标签，需要额外注意——它们存在特定的XSS攻击向量，需谨慎添加。

修正上述细节后，这个方案可以有效防范大部分XSS攻击。

2. Django中处理用户提交HTML的最佳实践 #

• 优先在表单层做内容清理：在表单的clean_<field>方法中处理，能在用户提交时就拦截恶意内容，避免无效数据存入数据库，示例：

from django import forms
import bleach

class PostForm(forms.ModelForm):
    def clean_content(self):
        content = self.cleaned_data.get('content')
        allowed_tags = bleach.sanitizer.ALLOWED_TAGS + ['p', 'img', 'br', 'strong', 'em', 'ul', 'ol', 'li']
        allowed_attributes = {'img': ['src', 'alt']}  # 移除全局style属性权限
        return bleach.clean(content, tags=allowed_tags, attributes=allowed_attributes)

    class Meta:
        model = Post
        fields = ['content']

• 严格限制CSS属性：如果必须允许style属性，要配合Bleach的CSS过滤器，只放行安全的CSS属性，示例：

from bleach.css_sanitizer import CSSSanitizer

css_sanitizer = CSSSanitizer(allowed_css_properties=['color', 'font-weight', 'text-align'])
allowed_attributes = {'img': ['src', 'alt', 'style'], '*': ['style']}
return bleach.clean(content, tags=allowed_tags, attributes=allowed_attributes, css_sanitizer=css_sanitizer)

• 利用CKEditor内置过滤：CKEditor的Advanced Content Filter（ACF）可以从源头限制允许的标签和属性，减少恶意内容提交，配置示例：

CKEDITOR.editorConfig = function(config) {
    config.allowedContent = 'p img[src,alt]; br strong em ul ol li';
    config.disallowedContent = 'script iframe style';
};

• 谨慎使用|safe过滤器：只有确认内容经过严格清理后再使用|safe，不确定时宁可让Django自动转义。同时可以用bleach.linkify处理链接，强制过滤javascript:这类伪协议链接。
• 存储原始与清理后双内容：如果需要保留用户原始输入用于后续编辑，可以同时存储原始内容和清理后的内容——编辑时用原始内容，前端渲染时用清理后的内容，兼顾体验与安全。
• 定期更新依赖库：Bleach、CKEditor这类安全相关库会持续修复漏洞，保持版本更新能避免已知风险。

内容的提问来源于stack exchange，提问作者Amrita Kushwaha