html - Cakephp 2.5 和剥离 HTML

Question

我正在使用最近从 1.1 升级到 2.5 的应用。

我一直认为带有文本框和文本区域的原生 cakephp 行为是从输入中去除 html 标签。

最近我们发现此应用中没有发生这种情况。

所以我的问题是这样的。我最初的假设是否不正确，默认情况下蛋糕不会处理这个问题，我们需要自己明确地这样做。或者是否可以关闭它，也许这就是这里发生的事情，我会在哪里找到它？做了一些搜索，包括蛋糕网站，但不断提到 Sanitized Utility of cake，它在 2.3 中被弃用

非常感谢任何帮助或指导。

Answer 1

您指的是数据清理。

在 CakePHP 1.x 中，它是通过辅助类处理的。

http://book.cakephp.org/1.3/en/The-Manual/Common-Tasks-With-CakePHP/Data-Sanitization.html

对于 Controller 收到的任何输入，数据清理从来都不是自动的或默认的，但是当您更新到 CakePHP 2.5 时，清理助手已被删除。所以你一定是在迁移到 Cake 2.5 的过程中不知不觉地删除了它

http://book.cakephp.org/2.0/en/core-utility-libraries/sanitize.html

它被删除的原因是它不安全并且很容易被黑客绕过。 CakePHP 1.x 站点容易受到 XSS 攻击。

http://en.wikipedia.org/wiki/Cross-site_scripting

在您可以安全地执行表单数据清理之前。您应该知道黑客绕过输入过滤以注入(inject)不需要的数据是多么容易。

https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

在不知道您要清理的表单的性质的情况下，我不可能推荐解决方案。最安全的方法是去除标点符号以外的所有非字母数字字符。