php - TinyMCE、PHP 和 MySQL : security and escaping questions

Question

我正在为客户实现 TinyMCE，以便他们可以通过网站管理面板中简单、熟悉的界面编辑前端内容。

我以前从未使用过 TinyMCE，但请注意，您可以插入任何您想要的标记，并且它会很高兴地保存到 MySQL 数据库中，假设您在通过查询运行它之前没有转义 TinyMCE 的内容.

您甚至可以插入单引号并让它完全破坏您的 SQL 查询。

当然，当我转义内容时，良性的表示性内容(如段落标签)会转换为 HTML 实体，因此所见即所得编辑器的全部意义都被打败了，因为实体在显示在前端存储内容。

那么有没有一种方法可以让我从 TinyMCE 中“选择性地转义”内容，以保留 P 和 BR 等无害标签，同时摆脱 SCRIPT、IFRAME 等危险标签？我真的不想使用 str_replace() 或其他任何方法手动编码和解码它们，但我也不想给我的客户一个巨大的安全漏洞。

谢谢。

Answer 1

您尝试过 htmlpurifier 吗？创造奇迹。它的警告；又大又慢，但是你能拥有的最好的。

http://htmlpurifier.org .