当我使用TinyMCE编辑器时，Django如何处理转义？

Question

如何仅在页面上显示粗体，斜体和所有其他非安全问题HTML？

Answer 1

消毒HTML是一个相当困难的问题得到正确的。垃圾邮件发送者和其他讨厌的人总是想出通过卫生来走私HTML的新方法。最安全的选择是定义一个无害标签的白名单，并用真正的HTML解析器严格过滤掉所有其他标签（带正则表达式的而不是）。

djangosnippets.com上有几个模板标签和过滤器，例如， this或this one。选择过滤器时，请注意它使用白名单和HTML解析器，如lxml.html（最好是lxml.html.clean）或BeautifulSoup。

Answer 2

要显示所有HTML（不逃逸的），你可以使用safe过滤

{{ var|safe }} 

在你的情况，如果你想逃避，除了某些标签的一切，你可以写你自己的过滤器，做的是：

{{ var|mysafe }} 

读到它在这里：http://docs.djangoproject.com/en/dev/howto/custom-template-tags/

过滤器的算法可能是：

1. 都逃不过
被 允许（通过使用 .replace或 regilar表达式）
2. UNESCAPE只有那些标签

Answer 3

也许更有意义的是配置TinyMCE这种方式，用户只能输入你允许的元素。 TinyMCE有a powerful set of rules。如果您使用的是django-tinymce，请参见this，将TINYMCE_DEFAULT_CONFIG设置为您需要的选项。