首页 > > 网络编程 > 其它 >

kindedit编辑器和xxs攻击防护（BeautifulSoup）…

2018-06-17 23:44:38来源：未知阅读 ()

一、kindedit编辑器

就是上面这样的编辑输入文本的一个编辑器

这也是一个插件。那么怎么用呢？

1、下载：百度kindedit

2、引入：

    <script src="/static/kindeditor/kindeditor-all.js"></script>

3、看官方提供的文档

在addarticle.html中

    <script>
        {#        KindEditor编辑器的使用#}
        KindEditor.ready(function (K) {
            window.editor = K.create('#id_content', {
                {#                    width:"1030px"#}
                width: "90%",
                height: "500px",
                resizeType: 0,//编辑器不拉伸
                uploadJson: "/uploadFile/",  //上传图片路径
                {#                    items:['preview', 'print', 'template', 'code', 'cut', 'copy', 'paste', 'plainpaste', 'wordpaste', '|', 'justifyleft', 'justifycenter', 'justifyright', 'justifyfull', 'insertorderedlist', 'insertunorderedlist', 'indent', 'outdent', 'subscript',]#}
                //items:你可以筛选你自己想要的
                extraFileUploadParams: {     #解决forbidden
                    csrfmiddlewaretoken: $("[name='csrfmiddlewaretoken']").val(),
                }
            });
        });
    </script>

当你把编辑器插入好的时候，你看似都可以设置大小，字体变粗等。。但是当你上传图片的时候就会想下面一样

这时候就需要 uploadJson: "/uploadFile/", 这个参数了。

url.py

 url(r'^uploadFile/$', views.uploadFile),

views.py

def uploadFile(request):
    '''上传图片路径'''
    print(request.path)  #返回的是当前请求的路径
    print(request.FILES)  #<MultiValueDict: {'imgFile': [<InMemoryUploadedFile: 44643.gif (image/gif)>]}>
    file_obj = request.FILES.get("imgFile")  #得到用户上传的文件对象
    filename = file_obj.name  #那到文件的文件名
    path = os.path.join(settings.MEDIA_ROOT,"upload_article_img",filename) #拼接一个路径吧文件保存进去，一般上传文件的路径保存在media中
    print("======",path)
    with open(path,"wb") as f:#吧文件保存在本地      
        for line in file_obj:     #也可以for i in chunks()   不是一行一行的读，而是有具体的大小64*2**10
            f.write(line)
　　   
    response = {
        "error":0,
        "url":"/media/upload_article_img/"+filename+"/"   #前端图片文件预览
    }

    return HttpResponse(json.dumps(response))   #需要注意的是上传文件返回的是一个json字符串

二、XSS攻击防护：

BeautifulSoup：是python的一个库，查你想要的数据的，但是只是针对标签字符串。主要用于从网页爬取数据

1、首先需要知道的一些基础知识

<html>
 <head>
  <title>
   The Dormouse's story
  </title>
 </head>
 <body>
  <p class="title">
   <b>
    The Dormouse's story
   </b>
  </p>
  <div id="d1" class="d1">
    <b>
    The Dormouse's story2
    </b></div>
  <p class="story">
   Once upon a time there were three little sisters; and their names were
   <a class="sister0" href="http://example.com/elsie" id="link1">
    Elsie
   </a>
   ,
   <a class="sister1" href="http://example.com/lacie" id="link2">
    Lacie
   </a>
   and
   <a class="sister2" href="http://example.com/tillie" id="link3">
    Tillie
   </a>
   ;
and they lived at the bottom of a well.
  </p>
   <script>alert(1234)</script>
  <p class="story sister2">
   ...
  </p>
 </body>
</html>
"""
# 第一步:实例化对象
from bs4 import BeautifulSoup
soup = BeautifulSoup(html_doc,"html.parser")
# 第二步：美化
print(soup.prettify())
# 第三步:查找标签
print(soup.a)  #只能找到符合条件的第一个标签
print(soup.find("a")) #只能找到符合条件的第一个标签
print(soup.find_all("a"))  #找到所有的a标签
print(soup.a["class"])  #找到a标签的class属性
print(soup.find_all(name="a"))#找所有标签名是a标签的
print(soup.find_all(attrs={"class":"sister1"}))#找属性是class=sister1的
print(soup.find_all(name="a",attrs={"class":"sister1"}))#找a标签并且属性是class=sister1的

# ===========================
for ele_a in soup.find_all("a"):
    print(ele_a.attrs)  #找出a标签的所有的属性
    print(ele_a["href"])  #找出所有的a标签的href属性
    print(ele_a["class"])  #找出所有的a标签的class属性

for ele_a in soup.find_all("a"):
    print(ele_a.attrs)  #找出a标签的所有属性
    del ele_a["class"]  #删除a标签的class属性
#
for ele_a in soup.find_all("a"):
    print(ele_a)  #找出a标签


for ele in soup.find_all():
    if ele.attrs:
        '''如果有属性'''
        if ele.attrs.get("class"):
            '''如果得到class属性'''
            print(ele.attrs)
            del ele["class"]
print(soup)


for ele_a in soup.find_all("script"):    #soup是整个文档对象，循环整个文档的所有的script标签
    print(ele_a.string)  #所有a标签的文本
    print(ele_a.text)    #所有a标签的文本
    ele_a.string.replace_with("//别瞎玩")  #替换a标签的文本
print(soup)

四个对象：

　　1、comment对象：注释对象

　　2、Tag标签对象：相当于html中的一个标签对象

　　3、BeautifulSoup对象：相当于整个文档对象（Dom对象）

　　4、Navigablefetry文本对象

下面我们来具体应用一下：xss攻击防护。吧一些不安全的给删除或者替换了

def filter_xss(html_str):
    valid_tag_list = ["p", "div", "a", "img", "html", "body", "br", "strong", "b"]    #有效标签列表

    valid_dict = {"img":["src","alt"],"p": ["id", "class"], "div": ["id", "class"]}    #有效属性列表

    from bs4 import BeautifulSoup

    soup = BeautifulSoup(html_str, "html.parser")  # soup  ----->  document

    ######### 改成dict
    for ele in soup.find_all():
        # 过滤非法标签
        if ele.name not in valid_dict:
            ele.decompose()
        # 过滤非法属性

        else:
            attrs = ele.attrs  # p {"id":12,"class":"d1","egon":"dog"}
            l = []
            for k in attrs:
                if k not in valid_dict[ele.name]:
                    l.append(k)

            for i in l:
                del attrs[i]

    print(soup)

    return soup.decode()