django-summernoteのセキュリティについて

Question

簡単に強調やリンクを貼れるように、django-summernoteを使用したいと思っています。
そこで気になったのですが、表示する際に{{ 〜〜| safe }}としたときのセキュリティは大丈夫なのでしょうか。

管理者である自分のみが使うのであれば問題はないと思うのですが、
今回は一般ユーザーも投稿可能にしたいと思っています。
XSSを防ぐためにも、safeを使うのは最低限にするべきだとわかっているのですが、safeを使う以外の表示方法がわかりません。

##質問
・多くのユーザーが文章を投稿するアプリで、django-summernoteを使うとsafeタグを使わないといけないのか
・djangoで安全性を保ったまま、強調などの装飾をする良い方法があるか
以上の２点が質問です。よろしくお願いします。

Answer 1

面白いライブラリがあるのですね。

GitHubのIssuesにインジェクション対策が掲載されていました。
Injection Vulnerability #391

import bleach
from django import forms

from django_summernote.widgets import SummernoteWidget

ALLOWED_TAGS = [
    'a', 'div', 'p', 'span', 'img', 'em', 'i', 'li', 'ol', 'ul', 'strong', 'br',
    'h1', 'h2', 'h3', 'h4', 'h5', 'h6',
    'table', 'tbody', 'thead', 'tr', 'td',
    'abbr', 'acronym', 'b', 'blockquote', 'code', 'strike', 'u', 'sup', 'sub',
]

STYLES = [
    'background-color', 'font-size', 'line-height', 'color', 'font-family'
]

ATTRIBUTES = {
    '*': ['style', 'align', 'title', ],
    'a': ['href', ],
}

class HTMLField(forms.CharField):
    def __init__(self, *args, **kwargs):
        super(HTMLField, self).__init__(*args, **kwargs)
        self.widget = SummernoteWidget()

    def to_python(self, value):
        value = super(HTMLField, self).to_python(value)
        return bleach.clean(
            value, tags=ALLOWED_TAGS, attributes=ATTRIBUTES, styles=STYLES)

Comments

[yukoishii]

まさに欲しかった内容でした！
僕自身が詳細に調べればよかったことで申し訳ないですが、本当に助かりました。
ありがとうございます！

[hasami]

すみません。よく調べたら上記のコードはマージされていました。

settingsでデフォルトのALLOWED_TAGSを編集すれば良いみたいです。

Answer 2

例えばですが、formの方で、「<script>が含まれていたらエラーにする」といったチェックを入れるという方法もあるかと思います。