My escape(html)

[homm]

По крайней мере на php есть куча библиотек для фильтрации контента, учитывающих в том числе уязвимости браузеров. Уверен, что и под питон таких найдется. Ваша функция может похвастсться тем-же?

[race1]

Уязвимости браузеров? Нет, функция просто оставляет разрешённые тэги и атрибуты. Неразрешённые атрибуты удаляет, символы экранирует. Разве ещё что-то надо? :)

[homm]

Она не может эффективно «оставляет разрешённые тэги и атрибуты», если вы даже не подозреваете что именно браузеры считают тегами. Я сам не эксперт, но как минимум слышал о том, что многие браузеры пропускают нулевой символ, в результате конструкция <{0x00}script> становится обрабатываемым тегом.

На хабре тоже когда-то стояла просто функция, удаляющая теги, можете поискать на луркоморье статью о связанном с этим эпик фейле.

[race1]

Вроде понятно что вы имеете в виду. Я так думаю надо найти примеры уязвимостей и проверить свою функцию на них.

PS. <\0br/> функция не посчитала валидным тэгом, выдав & lt;\0br/& gt; Я не думаю что такая конструкция может показаться браузеру тэгом… :)

[zw0rk]

template filter `escape` чем не подошел для экранирования?

[race1]

Он экранирует все символы, а мне надо оставить некоторые тэги.

[hardtop]

Есть библиотека — Beautiful Soup. А вот некоторые наброски кода. Вообще, на stackoverflow.com можно выбрать все темы по тегу django — очень много интересного можно найти.