python | bleach，一个超强的 Python 库！

本文来源公众号“python”，仅用于学术分享，侵权删，干货满满。

原文链接：bleach，一个超强的 Python 库！

大家好，今天为大家分享一个超强的 Python 库 - bleach。

Github地址：https://github.com/mozilla/bleach

在当今的Web应用开发中，处理用户提供的HTML内容是一项常见而关键的任务。然而，如果处理不当，可能会导致跨站脚本攻击(XSS)等安全漏洞。Python的bleach库正是为解决这一问题而设计的，它提供了一套完整的HTML内容清理解决方案。无论是处理用户评论、文章内容，还是其他形式的富文本输入，bleach都能确保内容的安全性，同时保持必要的HTML标记和样式。

安装

基础安装

使用pip包管理器可以简单快速地完成bleach的安装：

pip install bleach

基本功能

HTML内容清理

bleach的核心功能是清理HTML内容，移除潜在的危险标签和属性。

以下示例展示了基本的清理操作：

import bleach

# 清理包含潜在危险标签的HTML
unsafe_html = '''
<p>欢迎访问我的网站!</p>
<script>alert('危险代码');</script>
<a href="javascript:alert('XSS')" class="link">点击这里</a>
<img src="image.jpg" onerror="alert('XSS')" />
'''

# 使用默认设置清理HTML
cleaned_html = bleach.clean(unsafe_html)
print(cleaned_html)

自定义标签和属性

bleach允许开发者指定允许的HTML标签和属性。

以下示例展示了如何定制清理规则：

import bleach

# 自定义允许的标签和属性
html_content = '''
<p class="text-center">居中的段落</p>
<a href="http://example.com" target="_blank">安全链接</a>
<img src="safe-image.jpg" alt="示例图片" />
'''

clean_html = bleach.clean(
    html_content,
    tags=['p', 'a', 'img'],
    attributes={
        'p': ['class'],
        'a': ['href', 'target'],
        'img': ['src', 'alt']
    }
)

链接处理

bleach提供了专门的链接处理功能，可以自动识别文本中的URL并转换为可点击的链接：

import bleach

# 处理文本中的URL
text_with_urls = '''
访问我们的网站 https://example.com
或发送邮件至 contact@example.com
'''

# 转换URL为可点击链接
linked_text = bleach.linkify(text_with_urls)
print(linked_text)

高级功能

自定义回调函数

bleach允许通过回调函数对特定标签或属性进行精细控制：

import bleach
from urllib.parse import urlparse

def clean_url(url):
    parsed = urlparse(url)
    if parsed.scheme in ['http', 'https']:
        return url
    return ''

html = '<a href="javascript:alert(1)">危险链接</a>'
cleaned = bleach.clean(
    html,
    tags=['a'],
    attributes={'a': ['href']},
    protocols=['http', 'https'],
    callbacks={'a': {'href': clean_url}}
)

处理自定义协议

在某些情况下，需要支持特定的URL协议。以下示例展示如何配置允许的协议：

import bleach

# 允许特定协议的链接
html_with_protocols = '''
<a href="http://example.com">HTTP链接</a>
<a href="https://secure.com">HTTPS链接</a>
<a href="ftp://files.com">FTP链接</a>
'''

clean_html = bleach.clean(
    html_with_protocols,
    tags=['a'],
    attributes={'a': ['href']},
    protocols=['http', 'https', 'ftp']
)

实际应用场景

处理用户评论

在处理用户评论系统时，需要确保内容安全性的同时保留基本的格式：

import bleach

class CommentSystem:
    def __init__(self):
        self.allowed_tags = ['p', 'br', 'strong', 'em', 'a']
        self.allowed_attrs = {'a': ['href']}
        
    def process_comment(self, comment_text):
        # 清理HTML内容
        cleaned = bleach.clean(
            comment_text,
            tags=self.allowed_tags,
            attributes=self.allowed_attrs,
            strip=True
        )
        
        # 处理链接
        linked = bleach.linkify(cleaned)
        return linked

# 使用示例
comment_system = CommentSystem()
user_comment = '''
<p>查看这个链接 https://example.com</p>
<script>alert('XSS');</script>
'''
safe_comment = comment_system.process_comment(user_comment)

内容管理系统

在CMS系统中，可能需要根据用户权限级别允许不同的HTML内容：

import bleach

class ContentManager:
    def __init__(self):
        self.permission_levels = {
            'basic': {
                'tags': ['p', 'br', 'strong', 'em'],
                'attributes': {}
            },
            'advanced': {
                'tags': ['p', 'br', 'strong', 'em', 'h1', 'h2', 'img', 'a'],
                'attributes': {
                    'img': ['src', 'alt'],
                    'a': ['href']
                }
            }
        }
    
    def clean_content(self, content, user_level):
        config = self.permission_levels.get(user_level, 'basic')
        return bleach.clean(
            content,
            tags=config['tags'],
            attributes=config['attributes']
        )

# 使用示例
cms = ContentManager()
content = '''
<h1>页面标题</h1>
<p>正文内容</p>
<img src="image.jpg" alt="示例图片">
<script>alert('XSS');</script>
'''

basic_content = cms.clean_content(content, 'basic')
advanced_content = cms.clean_content(content, 'advanced')

总结

Python bleach库作为一个专业的HTML清理工具，为Web应用开发提供了强大的内容安全保障。通过其灵活的配置选项和直观的API，开发者可以轻松实现对用户生成内容的安全处理。从简单的标签过滤到复杂的链接处理，bleach都提供了完整的解决方案。特别是在构建需要处理用户输入的Web应用时，bleach的存在极大地降低了XSS攻击的风险，同时保持了良好的用户体验。对于追求安全性和稳定性的Python Web开发者来说，bleach是一个不可或缺的工具库。

THE END !

文章结束，感谢阅读。您的点赞，收藏，评论是我继续更新的动力。大家有推荐的公众号可以评论区留言，共同学习，一起进步。