如何安全地處理放置在href屬性中的用戶輸入？

Question

我從應該包含URL的不受信任的用戶捕獲一個字符串。我該如何安全地將它包含在這樣的Django模板中？：

<a href="{url}">...</a> 

以下預防措施列表是否足夠？

1. 檢查它與http://或https://
2. 開始確保href屬性包含在雙引號。
3. 依靠Django模板自動轉義來轉義雙引號。

Answer 1

我會做一個模板標籤和使用：

from django.core.validators import URLValidator 

看它確實比你所提到的東西多一點的來源。