javascript - 允许用户安全地将 HTML 保存到数据库吗？

Question

我有一个网站，我的客户可以使用该网站来允许他们的客户在线注册(这是用于日托注册)。因此，我提供了此在线注册表，并允许我的客户自定义注册完成后显示的“谢谢”消息。

允许我的客户使用 HTML 来格式化他们的感谢消息是否安全？我知道这将允许他们生成 javascript，但我应该关心这一点吗？

Answer 1

是的，您当然应该关心。

<img src="http://evil.com/evilScript.js">

在他们的感谢信息中，我将把 evilScript.js 上的内容留给您想象。

<小时/>

我的建议是，使用 Markdown 作为格式，并在需要时(在 View 中)将其解析为 HTML。