html - 强制标签在动态文本中关闭

Question

在我网站的许多地方，允许用户通过 WYSIWYG 或带标签的纯文本输入格式化文本。自然地，此类输入会针对安全威胁进行清理，但不会去除标签，也不会完全进行实体编码。类似于 <p>hello world</p>最终以 <p>hello world</p> 的形式返回给最终用户.

大多数 WYSIWYG 都足够智能，可以在将内容转换为表单之前清理 XML，但是手动 POST 请求、非 WYSIWYG 文本区域和非 JS 用户不会受到这种向正确方向的拉动。所以没有什么可以阻止用户输入 <a href="/"> ，将页面的其余部分变成一个链接。

最好的治疗方法是什么？

Answer 1

无论用户提供什么，都使用 HTML 解析器对其进行解析。当它是 DOM 时对其进行清理，然后将 DOM 序列化回 HTML，将 body 元素的内容(解析器将在必要时创建一个)作为发送回最终用户的字符串。所有必要的元素都将有结束标签。