Google App EngineでPythonでhtml blobのアップロードをサニタイズする方法は？

Question

iframeにサービスを提供する意図でHTMLがGoogle App Engineにアップロードされている場合、そのスクリプトを削除するなど、スクリプトやその他の悪意のあるHTMLを削除するなど、どのような方法で削除するのが最適ですか？

私はこれを行うには良い方法であり、任意のヘルプははるかに高く評価されている場合、私は疑問に思って

 reader = blobstore.BlobReader(binfo.key()) 
     value = reader.read() 
     newHtml = lxml.html.clean.Cleaner().clean_html (value) 
     #save newHtml as the blob in google cloud store to be served. 

を考えています。

NB：アンカーを削除したり、アンカー（またはソース）を非相対的で安全なhttpなどにする方法がある場合は、素晴らしいこともあります（または完全に禁止する）。

Answer 1

悪意のあるコンテンツをHTMLに埋め込む方法がたくさんあるので、これはうまく解決するのが難しい問題です。 script要素はおそらく最もよく知られている/共通ですが、form,input、およびimg要素も悪用される可能性があります。また、イベントハンドラを介してほとんどの要素に悪質なJSを含めることもできます。 More information about XSS from OWASP、あなたを始めましょう。

あなたはPythonを使用しているので、ここでは、HTMLを消毒するためのいくつかのライブラリがあります。何が価値がある、あなたは（ホスティングしているiframeにユーザーが提供するHTMLをホストするアプリケーションにアクセスすることから悪質なコンテンツを防止するための一つの方法であるために

• bleach
• html-sanitizer
• sanitize

iframeブレークアウトを防止するための対策を講じることをお勧めします）。ただし、そこにホストされているコンテンツが常に信頼できるとは限りません。

希望すると便利です。