MySQL HTML 清理

Question

我有一个将数据保存到 MySQL 数据库的网站

在将 HTML 插入 MySQL 或在我的网站上显示它时，我应该转义 HTML 吗？

理想情况下，我想将原始 HTML 输入到我的数据库中，并在每次从中提取数据时进行清理。这样做有危险吗？

示例 html:<h1>test</h1>

Answer 1

typically users won't save HTML, but I don't want them to berestricted. Of course that HTML won't be executed. It will just bedisplayed

Should I escape the HTML upon inserting it into MySQL or upon displaying it on my website?

那么您一开始就没有 HTML。您有纯文本。

转义要注入(inject)到 HTML 中的纯文本是一项快速操作，除非我们谈论的是单行中 1 GB 的文本，否则缓存它是没有意义的。如果您在保存之前将纯文本转换为 HTML，则您将不再拥有原始文本，并且您将被迫撤消编码，以便不在 HTML 上下文中使用它(例如，将其放入 JavaScript 变量中或将其用作电子邮件主题)。