editor - WMD 编辑器 sanitizer

Question

我正在寻找方法来清理 WMD 的输入编辑。

具体来说，我试图让 HTML 标签只在 <code> 中可用。 WMD 生成的标签。那可能吗

我的问题是以下代码呈现为 HTML，这对潜在的 XSS attacks 来说是脆弱的.

例如，<a onmouseover="alert(1)" href="#">read this!</a>
上面的代码在预览模式和保存到数据库时正常呈现。

我注意到 Stack Overflow 似乎没有这个问题。相同的代码只是呈现为文本。

我注意到 Stack Overflow 团队在 http://refactormycode.com/codes/333-sanitize-html 中分享了他们的代码。 .我真的必须使用 C# 来净化 WMD 才能做到这一点吗？

Answer 1

我最终使用了 HTML Purifier为了这。