Djangoで利用者がMarkdownをテンプレートで表示させる際に{{safe}}をした場合のXSS対策について。

Question

Djangoでユーザーがマークダウンエディタから簡易的な投稿を出来るアプリを作成しました。
以下のようにマークダウンをhtmlに変換するフィルターを作りました。

from django import template  
from django.template.defaultfilters import stringfilter  
import markdown  
 
register = template.Library()  
 
@register.filter  
@stringfilter  
def markdown_html(value):  
   return markdown.markdown(value)  

これをテンプレートで以下のようにすれば、マークダウンがHTML表示されます。

{{ markdowntxt | markdown_html | safe }}  

Answer 1

気になったのでちょっと調べてみました。
import markdownとあるので、Python-markdownを使っていることを想定しています。

※以下は、自分の中での考え方の整理も兼ねています（回答としての結論は最後）

前提としてsafeフィルターは外せない

Djangoの挙動として、変数出力は特に指定がなければエスケープされたものが出ます。
そのため、自身で用意したHTMLをそのままHTMLとして出力するためには、autoescapeブロックかsafeフィルタによる一時的なエスケープ解除が必須です。

そのため、ユーザーコンテンツなどをDjango経由で出力するのであれば、事前に無害なHTMLにした上で非エスケープ状態で出力しないといけません。

Python-markdown自体はエスケープしない

どうも、以前のPython-markdownにはエスケープすると思わしきsafe_mode,html_replacement_textというオプションがあったみたいです。
※ただし、試してみたら自分の想定とも違う挙動だったので「あった」という事実のみに留めておきます。

現在、Python-markdownドキュメントのChangelogを見ると、「サニタイズをしたいなら、bleachというライブラリを使え」という案内が出ています。

ドキュメントのサンプルコードを現実に合わせる

ドキュメントにはコードサンプルもあるのですが、使っているものがちょっと古いようです。
現在では、

• サニタイズ行うライブラリ bleach
• bleach用の便利なサポートライブラリ bleach-allowlist

を組み合わせるとちょうどよい感じがします。

• Bleachのドキュメント
• Bleach-allowlistのリポジトリ

Djangoでの利用例

bleachの非サニタイズ条件をprint_tags(ブラウザに直接出力しないもののみサニタイズ？)させるケース
（Django上での確認はしていません。bleachの挙動でエスケープしたことだけ確認しています）

from django import template
from django.template.defaultfilters import stringfilter
import markdown
+import bleach
+from bleach_allowlist import print_tags

register = template.Library()

@register.filter
@stringfilter
def markdown_html(value):
-    return markdown.markdown(value)
+    return bleach.clean(markdown.markdown(value), print_tags)

※このコードをベースにどれだけサニタイズするかは、要件によって変わってきます