php - 如果我要剥离标签/将它们转换为 HTML 实体，我是否需要使用 HTML Purifier？

Question

我目前正在从事一个项目，该项目从文本区域读取数据并将其馈送到 mysql 数据库。我的问题是，如果我已经剥离 html 标签或将它们转换为实体，我是否真的需要使用 html 净化器来防止 mysql 注入(inject)或任何攻击？

Answer 1

为了防止 mysql 注入(inject)，你应该使用 prepared statements .

对于其他攻击，对于 XSS，您需要进行适当的输出转义。这是小菜一碟。马特·罗宾逊写了一篇 good introduction to the concept . Pádraic Brady 指出 it isn't as simple as that并最终建议在 htmlspecialchars 周围使用包装器，如 Twig做。 Zend 也有一个转义库，它们都受到来自 ESAPI 的引用代码的启发。不幸的是没有 production ready version for php .

请注意所有库 let the comma pass through in javascript context我认为这是一个漏洞。

如果您不想接受 html 输入并且您可以只删除 html 标签，您不需要使用 html 净化器。