अविश्वसनीय इनपुट पर पाइथन-मार्कडाउन सुरक्षित है?

Question

Python-Markdown में कच्चे HTML से बचने जैसी सुविधाएं शामिल हैं जो स्पष्ट रूप से अविश्वसनीय इनपुट पर इसे सुरक्षित बनाने के लिए लक्षित हैं, और आमतौर पर मार्कडाउन बोलने का उपयोग आम तौर पर एसओ पर उपयोगकर्ता इनपुट को प्रस्तुत करने के लिए किया जाता है।

लेकिन क्या यह कार्यान्वयन वास्तव में भरोसेमंद है? क्या किसी ने यहां अध्ययन किया है कि यह मनमाने ढंग से इनपुट चलाने के लिए सुरक्षित है?

मुझे लगता है कि Markdown in Django XSS safe और Secure Python Markdown Library है लेकिन वास्तव में 'सुरक्षित' मोड वास्तव में सुरक्षित है?

Answer 1

पायथन मार्कडाउन लाइब्रेरी सुरक्षित है, जहां तक ​​कोई भी जानता है, if you use it properly। इसे सुरक्षित रूप से उपयोग करने के बारे में विवरण के लिए लिंक देखें, लेकिन लघु संस्करण यह है: safe_mode सेट करने के लिए, और enable_attributes=False सेट करने के लिए नवीनतम संस्करण का उपयोग करना महत्वपूर्ण है।

अद्यतन: safe_mode अब इसके साथ सुरक्षा समस्याओं के कारण बहिष्कृत होने की वजह से है। https://pythonhosted.org/Markdown/reference.html#safe_mode देखें। इसके बजाय, एचटीएमएल शोधक जैसे एक अलग HTML sanitizer का उपयोग करें।