防止XSS攻击Django

Question

目前我使用的是CKEditor文本编辑器。它转义是html，但我想从服务器端阻止它。当我们在Python/Django中使用文本编辑器时，防止XSS的最好方法是什么？

Answer 1

自动地或显式地escape your output in templates，例如

{% autoescape on %}
    {{ body }}
{% endautoescape %}

或

{{ body|escape }}

如果只想转义JavaScript，“正确”的方法应该是将HTML转换为DOM，遍历节点树，并删除所有脚本元素。一种不那么优雅和不完美的解决方案是使用正则表达式来替换任何脚本标记。