python - 是否应该在输入时清理 html？

Question

这个问题已经在这里被问过很多次了，大多数人都同意原始 HTML 输入应该存储在数据库中，并在输出时进行转义。但是，我认为我的情况可能略有不同。

用户可以输入一些标签(em、strong、span 等)，但其他标签(script、style、meta 等)被删除所以我正在做的是获取原始 HTML，并通过 bleach.clean 发送它剥离(而不是转义)所有不安全的标签。对我来说，这感觉更像是验证/清理与转义显示内容。特别是因为无论我以何种格式(HTML、JSON 或任何其他格式)提供数据，我都会剥离不安全的标签。

我是否仍应在输出时对其进行清理，还是在这种情况下最好在输入时进行清理？

奖励问题:

如果这是这种情况的正确方法，那么在 Django 中实现它的最佳方法是什么？表单级验证还是模型级验证？

Answer 1

说到 sanitizer ，没有太多的事情。您应该始终在将所有用户输入插入数据库之前对其进行清理，以清理 HTML 本身以及防止任何 SQL 注入(inject)攻击。当输出来自数据库并被放入网页时，运行额外的检查和清理输出并没有什么坏处。