kindeditor编辑器内容插入数据库安全问题

Question

RT，现在使用kindeditor做来编辑发送消息的内容，应该如何注意安全问题？比如通过引号这些导致对数据库的不安全，还有就是显示的时候如何确保

<script type="text/javascript">

Answer 1

我也有这个问题

Answer 2

Answer 3

我也有这个问题····

Answer 4

除了jsp，其他模板都有对应的函数解决html编码问题，否则只能后台转码传到前台，原理和oschina里的common.js一样(换成java版就行了):

function html_encode(str)   
{   
  var s = "";   
  if (str.length == 0) return "";   
  s = str.replace(/&/g, "&");   
  s = s.replace(/</g, "<");   
  s = s.replace(/>/g, ">");   
  //s = s.replace(/ /g, " ");   
  s = s.replace(/'/g, "'");   
  s = s.replace(/"/g, """);   
  //s = s.replace(/n/g, "<br>");   
  return s;   
}   

function html_decode(str)   
{   
  var s = "";   
  if (str.length == 0) return "";   
  s = str.replace(/&/g, "&");   
  s = s.replace(/</g, "<");   
  s = s.replace(/>/g, ">");   
  s = s.replace(/ /g, " ");   
  s = s.replace(/'/g, "'");   
  s = s.replace(/"/g, """);   
  s = s.replace(/<br>/g, "n");   
  return s;   
}

Answer 5

没有使用Freemarker呢，咋解决？

Answer 6

如果是Freemarker的话可以用?html函数过滤内容，会自动把html中的特殊字符转为转义字符

Answer 7

如果是PHP的话可以用htmlspecialchars()函数过滤内容，会自动把html中的特殊字符转为转义字符

Answer 8

白名单过滤，补齐HTML标签

Answer 9

把小于号替换为<

把大于号替换为>

Answer 10

间接的鄙视了
@红薯

Answer 11

<script type="text/javascript">