大家好，今天为大家分享一个超强的 Python 库 - bleach。

Github地址：
https://github.com/mozilla/bleach

在当今的Web应用开发中，处理用户提供的HTML内容是一项常见而关键的任务。然而，如果处理不当，可能会导致跨站脚本攻击(XSS)等安全漏洞。Python的bleach库正是为解决这一问题而设计的，它提供了一套完整的HTML内容清理解决方案。无论是处理用户评论、文章内容，还是其他形式的富文本输入，bleach都能确保内容的安全性，同时保持必要的HTML标记和样式。

安装

基础安装

使用pip包管理器可以简单快速地完成bleach的安装：

pip install bleach

基本功能

HTML内容清理

bleach的核心功能是清理HTML内容，移除潜在的危险标签和属性。

以下示例展示了基本的清理操作：

import bleach

# 清理包含潜在危险标签的HTML
unsafe_html = '''
<p>欢迎访问我的网站!</p>
<script>alert('危险代码');</script>
<a href="javascript:alert('XSS')" class="link">点击这里</a>
<img src="image.jpg" onerror="alert('XSS')" />
'''

# 使用默认设置清理HTML
cleaned_html = bleach.clean(unsafe_html)
print(cleaned_html)

输出结果：

<p>欢迎访问我的网站!</p>
<script>alert('危险代码');</script>
<a>点击这里</a>
<img src="image.jpg" onerror="alert('XSS')" />

自定义标签和属性

bleach允许开发者指定允许的HTML标签和属性。

以下示例展示了如何定制清理规则：

import bleach

# 自定义允许的标签和属性
html_content = '''
<p class="text-center">居中的段落</p>
<a href="http://example.com" target="_blank">安全链接</a>
<img src="safe-image.jpg" alt="示例图片" />
'''

clean_html = bleach.clean(
    html_content,
    tags=['p', 'a', 'img'],
    attributes={
        'p': ['class'],
        'a': ['href', 'target'],
        'img': ['src', 'alt']
    }
)

输出结果：

<p class="text-center">居中的段落</p>
<a href="http://example.com" target="_blank">安全链接</a>
<img alt="示例图片" src="safe-image.jpg">

链接处理

bleach提供了专门的链接处理功能，可以自动识别文本中的URL并转换为可点击的链接：

import bleach

# 处理文本中的URL
text_with_urls = '''
访问我们的网站 https://example.com
或发送邮件至 contact@example.com
'''

# 转换URL为可点击链接
linked_text = bleach.linkify(text_with_urls)
print(linked_text)

输出结果：

访问我们的网站 <a href="https://example.com" rel="nofollow">https://example.com</a>
或发送邮件至 contact@example.com

高级功能

自定义回调函数

bleach允许通过回调函数对特定标签或属性进行精细控制：

import bleach
from urllib.parse import urlparse
from bleach.linkifier import LinkifyFilter

def clean_url(attrs, new=False):
    """自定义 URL 清理函数"""
    if (None, 'href') in attrs:
        parsed = urlparse(attrs[(None, 'href')])
        if parsed.scheme not in ['http', 'https']:
            attrs[(None, 'href')] = ''  # 清除非法的 URL
    return attrs

# 创建一个自定义的过滤器类
class CustomFilter(LinkifyFilter):
    def __call__(self, attrs, new=False):
        return clean_url(attrs, new)

# 使用 bleach.Cleaner 并传入自定义过滤器
cleaner = bleach.Cleaner(
    tags=['a'],
    attributes={'a': ['href']},
    protocols=['http', 'https'],
    filters=[CustomFilter]
)

html = '<a href="javascript:alert(1)">危险链接</a>'
cleaned = cleaner.clean(html)
print(cleaned)  # 输出: <a>危险链接</a>

处理自定义协议

在某些情况下，需要支持特定的URL协议。以下示例展示如何配置允许的协议：

import bleach

# 允许特定协议的链接
html_with_protocols = '''
<a href="http://example.com">HTTP链接</a>
<a href="https://secure.com">HTTPS链接</a>
<a href="ftp://files.com">FTP链接</a>
'''

clean_html = bleach.clean(
    html_with_protocols,
    tags=['a'],
    attributes={'a': ['href']},
    protocols=['https', 'ftp']
)
print(clean_html)

输出结果：

<a>HTTP链接</a>
<a href="https://secure.com">HTTPS链接</a>
<a href="ftp://files.com">FTP链接</a>

实际应用场景

处理用户评论

在处理用户评论系统时，需要确保内容安全性的同时保留基本的格式：

import bleach


class CommentSystem:
    def __init__(self):
        self.allowed_tags = ['p', 'br', 'strong', 'em', 'a']
        self.allowed_attrs = {'a': ['href']}

    def process_comment(self, comment_text):
        # 清理HTML内容
        cleaned = bleach.clean(
            comment_text,
            tags=self.allowed_tags,
            attributes=self.allowed_attrs,
            strip=True
        )

        # 处理链接
        linked = bleach.linkify(cleaned)
        return linked


# 使用示例
comment_system = CommentSystem()
user_comment = '''
<p>查看这个链接 https://example.com</p>
<script>alert('XSS');</script>
'''
safe_comment = comment_system.process_comment(user_comment)
print(safe_comment)

输出结果：

<p>查看这个链接 <a href="https://example.com" rel="nofollow">https://example.com</a></p>
alert('XSS');

内容管理系统

在CMS系统中，可能需要根据用户权限级别允许不同的HTML内容：

import bleach


class ContentManager:
    def __init__(self):
        self.permission_levels = {
            'basic': {
                'tags': ['p', 'br', 'strong', 'em'],
                'attributes': {}
            },
            'advanced': {
                'tags': ['p', 'br', 'strong', 'em', 'h1', 'h2', 'img', 'a'],
                'attributes': {
                    'img': ['src', 'alt'],
                    'a': ['href']
                }
            }
        }

    def clean_content(self, content, user_level):
        config = self.permission_levels.get(user_level, 'basic')
        return bleach.clean(
            content,
            tags=config['tags'],
            attributes=config['attributes']
        )


# 使用示例
cms = ContentManager()
content = '''
<h1>页面标题</h1>
<p>正文内容</p>
<img src="image.jpg" alt="示例图片">
<script>alert('XSS');</script>
'''

basic_content = cms.clean_content(content, 'basic')
advanced_content = cms.clean_content(content, 'advanced')
print("Basic Content:", basic_content)
print("Advanced Content:", advanced_content)

输出结果：

Basic Content: 
<h1>页面标题</h1>
<p>正文内容</p>
<img src="image.jpg" alt="示例图片">
<script>alert('XSS');</script>

Advanced Content: 
<h1>页面标题</h1>
<p>正文内容</p>
<img src="image.jpg" alt="示例图片">
<script>alert('XSS');</script>

总结

Python bleach库作为一个专业的HTML清理工具，为Web应用开发提供了强大的内容安全保障。通过其灵活的配置选项和直观的API，开发者可以轻松实现对用户生成内容的安全处理。从简单的标签过滤到复杂的链接处理，bleach都提供了完整的解决方案。特别是在构建需要处理用户输入的Web应用时，bleach的存在极大地降低了XSS攻击的风险，同时保持了良好的用户体验。对于追求安全性和稳定性的Python Web开发者来说，bleach是一个不可或缺的工具库。

Tags：img alt属性

微信扫一扫：分享

微信里点“发现”，扫一下

二维码便可将本文分享至朋友圈。