javascript - 富文本编辑，防止嵌入javascript代码

Question

我使用著名的 symfony 框架制作了一个网站。我想给它添加丰富的编辑功能。我找到了 TinyMCE 编辑器。但是出现了一个问题:用户如何将一些 javascript 代码嵌入到内容中？比如 alert('hello world').

我测试了wordpress，这是一个非常有名的博客软件。它面临同样的问题。 example .

如果有人嵌入了警报脚本，那没什么大不了的。但是，如果他们嵌入了一些危险代码怎么办？你遇到过同样的问题吗？我应该使用 markdown 而不是 html 吗？有什么好的 Markdown 编辑小工具吗？

Answer 1

使用现有库来清除用户输入是个好主意，html 净化器项目:http://htmlpurifier.org/看起来保养得很好，制作精良。