from markupsafe import escape html = '<p>' + escape(user_text) + '</p>' # 富文本 import bleach clean = bleach.clean(raw, tags=['p','br','code'])
后台保存含尖括号的代码示例时被过滤成空白，用户投诉内容丢失。这类现象通常不是突然出现的，往前翻半天日志能看到苗头。
追下去是这么回事：在入库阶段做了字符替换，破坏了原始内容，正确做法是输出时按上下文编码。
「XSS 过滤误伤」排查到最后往往是很小的一处差异，前面那些复杂猜测可以先放一放。权限不要一口气开到最大，先加到够用再往上试，范围小才好收。
把复现步骤压到三条以内，交给同事也能跑出来，才算真的定位清楚。改动写完就同步给同事，下一个人踩同一个坑，成本还是你的。
验证用真实数据走一遍，测试数据太干净，边界情况根本碰不到。能分两步做的操作就别合成一步，中间看一眼返回值，出问题好判断。
处理上按这个顺序：入库保留原文；输出到 HTML 时转义；富文本用白名单清洗。
确认没问题再收工，代码示例完整保存，页面渲染时不执行脚本，扫描通过。