html.escape() 會將用戶輸入的危險字符進行轉義處理，例如將 <script> 標簽轉義為 <script>，這樣瀏覽器就不會執行其中的腳本了。
大多數現代 Web 框架，如 Flask 使用的 Jinja2 模板引擎，已經內置了自動轉義功能。只要保持默認配置，所有動態輸出的用戶輸入都會自動進行 HTML 轉義。
from jinja2 import Template
template = Template('<h1>{{ user_input }}</h1>')
user_input = '<script>alert("XSS")</script>'
safe_output = template.render(user_input=user_input)
print(safe_output) # 輸出: <h1><script>alert("XSS")</script></h1>這種方式可以有效防止 XSS 攻擊，因為模板引擎會自動處理危險的字符，開發者不需要手動轉義。
有時候，我們希望允許一些 HTML 標簽的輸入（例如 <b> 或 <i>），但需要過濾掉諸如 <script> 等危險的標簽。可以通過正則表達式移除所有的 HTML 標簽，或者使用更復雜的 HTML 解析工具。
import re
def remove_tags(text):
# 正則表達式移除所有 HTML 標簽
clean_text = re.sub(r'<.*?>', '', text)
return clean_text
user_input = '<script>alert("XSS")</script><b>Hello!</b>'
clean_input = remove_tags(user_input)
print(clean_input) # 輸出: alert("XSS")Hello!通過這種方法，所有 HTML 標簽都會被去掉，從而杜絕 XSS 攻擊的發生。然而，它可能會移除用戶合法輸入的標簽，因此需要根據具體需求選擇合適的方案。
bleach 是一個強大的 Python 庫，它能夠高效清理和過濾用戶輸入的 HTML，并且允許開發者自定義保留的標簽和屬性。它特別適合那些需要部分允許 HTML 輸入的應用場景。
import bleach
user_input = '<script>alert("XSS")</script><b>Hello!</b>'
# 只允許 <b> 標簽
clean_input = bleach.clean(user_input, tags=['b'], attributes={}, styles=[], strip=True)
print(clean_input) # 輸出: <b>Hello!</b>使用 bleach 可以幫助開發者靈活控制允許的 HTML 內容，同時確保移除所有危險的標簽和屬性，避免 XSS 攻擊。
bleach庫來清洗HTML內容，移除不安全的標簽和屬性，或者使用正則表達式進行簡單的過濾。bleach.clean()函數，它能夠移除或轉義字符串中的潛在XSS攻擊代碼。bleach庫，它提供了強大的HTML清洗功能，或者使用html-sanitizer等第三方庫。bleach庫，它在清洗HTML內容時會盡量保留原有的結構和樣式。bleach庫來有效去掉字符串的 XSS 攻擊。bleach庫進行清洗，對用戶輸入進行嚴格的驗證，以及在存儲和顯示數據時始終保持警惕。bleach庫的清洗策略，或者手動編寫正則表達式，以避免誤傷正常內容。XSS攻擊是一種非常常見的安全威脅，特別是在處理用戶輸入時。通過適當的措施（如 HTML 轉義、模板引擎自動轉義、手動過濾危險標簽以及使用第三方庫），開發者可以有效防止 XSS 攻擊的發生。
在 Python 應用中，上述講到的python 去掉字符串的xss攻擊解決方案都可以幫助確保用戶輸入的安全性，避免惡意腳本在用戶瀏覽器中執行。為了構建一個安全可靠的應用程序，開發者應該時刻關注輸入的合法性并使用合適的工具進行過濾和轉義。