Golang HTML内容安全过滤与净化插件库bluemonday的使用

bluemonday是一个用Go语言实现的HTML净化器，它速度快且高度可配置。它接收不受信任的用户生成内容作为输入，并根据允许的HTML元素和属性列表返回经过净化的HTML，以便您可以安全地将内容包含在网页中。

基本用法

安装bluemonday：

go get github.com/microcosm-cc/bluemonday

基本使用示例：

package main

import (
    "fmt"

    "github.com/microcosm-cc/bluemonday"
)

func main() {
    // 为每个唯一的策略执行一次，并在程序生命周期内使用该策略
    // 策略创建/编辑不适用于多个goroutine
    p := bluemonday.UGCPolicy()

    // 然后可以使用该策略来净化大量输入，并且在多个goroutine中使用该策略是安全的
    html := p.Sanitize(
        `<a onblur="alert(secret)" href="http://www.google.com">Google</a>`,
    )

    // 输出:
    // <a href="http://www.google.com" rel="nofollow">Google</a>
    fmt.Println(html)
}

三种净化方式

bluemonday提供三种调用Sanitize的方式：

p.Sanitize(string) string
p.SanitizeBytes([]byte) []byte
p.SanitizeReader(io.Reader) bytes.Buffer

默认策略

bluemonday提供两种默认策略：

1. bluemonday.StrictPolicy() - 相当于剥离所有HTML元素及其属性，因为它没有任何允许列表
2. bluemonday.UGCPolicy() - 允许广泛选择对用户生成内容安全的HTML元素和属性

自定义策略构建

您可以构建自己的策略：

package main

import (
    "fmt"

    "github.com/microcosm-cc/bluemonday"
)

func main() {
    p := bluemonday.NewPolicy()

    // 要求URL可通过net/url.Parse解析，并且是mailto:、http://或https://
    p.AllowStandardURLs()

    // 我们只允许<p>和<a href="">
    p.AllowAttrs("href").OnElements("a")
    p.AllowElements("p")

    html := p.Sanitize(
        `<a onblur="alert(secret)" href="http://www.google.com">Google</a>`,
    )

    // 输出:
    // <a href="http://www.google.com">Google</a>
    fmt.Println(html)
}

添加元素到策略

添加元素到策略：

p.AllowElements("b", "strong")

或者使用正则表达式：

p.AllowElementsMatching(regex.MustCompile(`^my-element-`))

添加属性

添加属性到所有元素：

p.AllowAttrs("dir").Matching(regexp.MustCompile("(?i)rtl|ltr")).Globally()

添加属性到特定元素：

p.AllowAttrs("value").OnElements("li")

链接处理

链接是难以安全净化的内容之一，也是恶意内容的最大攻击媒介之一。

基本链接处理：

p.AllowAttrs("href").Matching(regexp.MustCompile(`(?i)mailto|https?`)).OnElements("a")

更安全的链接处理：

p.RequireParseableURLs(true)
p.AllowRelativeURLs(true)
p.AllowURLSchemes("mailto", "http", "https")
p.RequireNoFollowOnLinks(true)

数据URI

允许数据URI图像：

p.AllowDataURIImages()

策略构建辅助方法

bluemonday提供了一些辅助方法来简化策略构建：

// 全局允许"dir"、"id"、"lang"、"title"属性
p.AllowStandardAttributes()

// 允许"img"元素及其标准属性
p.AllowImages()

// 允许有序和无序列表，以及定义列表
p.AllowLists()

// 允许HTML表格及所有适用元素和非样式属性
p.AllowTables()

生产环境就绪性

bluemonday已在生产环境中使用，从广泛使用且经过大量现场测试的OWASP Java HTML Sanitizer迁移而来。它通过了广泛的测试套件（包括AntiSamy测试以及针对任何提出问题的测试）。

局限性

目前不包含任何帮助允许和净化CSS的工具。这意味着除非您希望在单个正则表达式中完成繁重的工作（不建议），否则您不应该在任何地方允许"style"属性。

同样，<script>和<style>被认为是有害的。默认情况下不会呈现这些元素（及其内容），并且需要您显式设置p.AllowUnsafe(true)。