tinymce - 使用 TinyMCE 时防止 XSS

Question

据我所知，TinyMCE 会自己转义元字符，并使用 htmlspecialchars() 之后只会使输出困惑并显示 < p > 标签等，而不是在浏览器中呈现它们。关闭 Javascript 并输入恶意代码是一件很容易的事情，当另一个启用了 Javascript 的用户访问内容时，这些代码将呈现。

所以我需要使用适当的服务器端验证，但是考虑到成千上万的 XSS 技术，我究竟如何才能正确地做到这一点？有没有适用于 TinyMCE 的有效方法，例如“将 htmlspecialchars() 与 TinyMCE 一起使用？”

到目前为止，我已经为允许的 HTML 标签创建了一个白名单，替换了所有 javascript:和类似 :void在内容中尝试防止内联 Javascript，例如 onClick="javascript:void(alert("XSS"));" ，但我觉得这还不够。

任何有关该主题的建议将不胜感激，但请记住，某些内容需要在输出中正确显示，这就是我首先使用 TinyMCE 的原因。我只需要防范 XSS。

此外，在谈到这个问题时；我如何保护自己免受 CSS XSS 的侵害，例如 style="background-image: url(XSS here);" ?

Answer 1

HTMLPurifier 是 php 的一种解决方案:http://hp.jpsband.org/