当允许用户输入 markdown 内容时，如何防止跨域脚本攻击？ Python 有没有相关的处理模块？

[zmrenwu]

比如 V2EX ，允许用户通过 markdown 格式发帖。现在我想做的是：

转义用户输入的纯 html ， js 代码。

代码块中的 html ， js 代码不被转义。

一些 mardown 和 html 共同的标签不被转义。

仔细思考发现这是一个挺麻烦的事情，需要考虑的情况比较多。

有没有完善的第三方 python 模块已经做了这个事了？

[Ellen]

项目里面使用的 js 编辑器 editor-md

[zmrenwu]

@Ellen 但这只是编辑器吧？对用户输入的内容做处理了么？

[rogwan]

可以在转义的时候，自定义过滤器，用过 flask Bleach ，然后根据自己的需要修改。

[zmrenwu]

@rogwan 自己写过滤挺复杂的，希望能有一个现成的框架。