使用 Python 清理不受信任的 CSS 的最佳方法答案

【问题标题】：Best way to sanitize untrusted CSS with Python使用 Python 清理不受信任的 CSS 的最佳方法
【发布时间】：2015-04-29 05:29:10
【问题描述】：

我想让我的用户上传他们自己的 CSS 来自定义外观，但 CSS 可用于运行 javascript。用 Python 清理它的最佳方法是什么？

我在其他语言上找到了一些答案： Sanitizing CSS in Rails, Sanitize CSS Using Java, Sanitize user defined CSS in PHP 但在 python 上一无所获。

我确实找到了https://pythonhosted.org/feedparser/html-sanitization.html#css-sanitization，但这有点过于局限，即根本不允许使用 url。

【问题讨论】：

你可以扫描 url 和 expression 属性值：stackoverflow.com/a/482088/2653390 因为这似乎是用 CSS 注入 JS 的唯一两种方法

【解决方案1】：

从您的链接来看，您似乎必须将某些内容列入白名单或列入黑名单。就个人而言，如果您有足够的信息，请尝试将不需要的组件列入黑名单。至于解析，你看CSSUtils for Python了吗？

【讨论】：