html - 在文本区域中显示未经过滤的用户输入是否存在风险？

Question

我按以下顺序保存两个版本的用户输入:

1. 不受信任的用户输入原始 Markdown 。
2. 原始 Markdown 存储在一张表中。
3. 原始 markdown 的副本被转换为 HTML。
4. HTML 经过清理和保存，并根据要求显示。
5. 原始 Markdown 版本仅在用户编辑条目时显示；它被加载到表单的文本区域中。

将原始 Markdown (可能包含不安全的 HTML)加载到文本区域是否有任何风险？它永远不会显示在文本区域之外。

我无法清理 Markdown ，因为这会导致我保存的 Markdown 和 HTML 版本之间不一致。

仅供引用:无论我将什么保存到数据库中，我总是清理 SQL。

Answer 1

您不必在那里清理它，只需注意正确转义 HTML 特殊字符，例如 < 和 >。

例如，Stackoverflow 允许您在帖子中发布 HTML 代码，它不会删除任何内容。这是通过编码而不是清理来实现的。