使Django模型表单安全

Question

我正在构建一个高性能API。我已经使用Tastypie很长时间了，有时我只需要更简单。对于这个API，我决定使用Django Simple Rest(https://github.com/croach/django-simple-rest)。它提供了所需的基础，我可以使用表单和ORM来验证和保存数据，而无需一般的API库开销。

我想验证传入的数据。我使用模型表单来验证。这很好，也很简单，它根据模型验证数据，但我需要更多。

我想确保没有脚本或HTML被张贴。对于某些字段，我可能允许HTML。我知道我可以使用html5lib进行各种验证，我可能会这样做，但我看到的唯一例子是指定每个字段。我正试图找到一种方法，在默认情况下防止javascript或HTML被输入到字段中，并能够在适当的时候进行覆盖。我不想用表格来描述每个模型，我想要一些通用的东西。

这是我的simplerest put函数。

    def put(self, request, *args, **kwargs):
        data = json.loads(request.body)
        try:
            todo = Item.objects.get(id=kwargs.get('id'))
        except Item.DoesNotExist:
            return HttpNotFound()
        form = TodoForm( instance=todo, data=data )
        if not form.is_valid():
            return JsonFormErrors( form )
        form.save()
        return JsonStatus(True, message="saved successfully")

这是我的表格。

from django import forms
from .models import *
class TodoForm(forms.ModelForm):
    class Meta:
        model = Item
        fields = ('id', 'text')

如果我想接受HTML，为我的所有put方法和表单提供通用保护的最佳方式是什么。

我感谢你的帮助！

富

Answer 1

您可以创建一个继承自ModelForm的新类，该类可以立即清除每个值。

我在想这样的事情：

from django import forms
from lxml.html.clean import clean_html
class SanitizedModelForm(ModelForm):
    def __init__(self, data=None, *args, **kwargs):
        if data is None:
            data = {}
        sanitized_data = {}
        for key, value in data:
            sanitized_data[key] = clean_html(value)
        super(SanitizedModelForm, self).__init__(sanitized_data, *args, **kwargs)

我不确定clean_html是否适合您的场景。