django - 安全呈现用户提供的 django 模板

Question

所以根据之前的 question of mine我决定创建一个允许 django 设计人员上传模板和 css 文件的网站。我将提供一组定义明确的上下文输入和对象，然后呈现用户提供的模板。这有望为新手提供大量工作示例，并为设计师提供展翅高飞的好方法。

我需要一种方法来确定模板是否可以“安全”呈现。希望确保没有恶意的 javascript、疯狂的路径请求会破坏我的网络服务器等。现在我知道没有保证的方法来清理这些，但我想要比仅仅“信任我的用户”更好的东西。

欢迎提出任何建议。

Answer 1

我知道这不是您所希望的，但最安全的选择是允许最终用户保存他们模板的副本，渲染 html 和 css 并转义所有标签。您可以允许他们上传完成主题的图片。

您的第二个选择是允许他们上传任何内容，但在您审核他们提交的内容之前不要将其显示在网站上。