前台评论引入KindEditor,请教大家应该如何防止恶意代码的注入

Question

KindEditor确实很不错,主要是使用够方便,操作友好.

昨晚根据需求对比了kindeditor,tinyeditor,ckeditor这三款html编辑器,

需求:字体加粗,字体倾斜,插入外部图片,插入表情.

放弃使用ck是因为大部分功能鸡肋了,是用不到,而且友好度和操作挺麻烦的,

tinyeditor是其中最轻量级,操作非常友好,而因为缺少了表情,也只好搁浅了.

其实不但是使用KindEditor,在前台引入各种编辑器给会员操作都应该注意哪些事项,

这是我当前已做的:

strip_tags(string,"<B>","<IMG>","<P>");//PHP过滤并允许部分标签,再把数据入库

还有其它需要注意的地方,请大家指教下.

Answer 1

楼上正解，推荐用HTML Purifier，http://htmlpurifier.org/

Answer 2

使用HTML Purifier   

Answer 3

学习了

Answer 4

谢谢楼上各位的建议

Answer 5

前后台都要处理是肯定的。

还要处理特殊字符，比如/,?,之类的，这个可以用作跨站攻击

Answer 6

kindeditor不是有自带的吗？？？

“

htmlTags

指定要保留的HTML标记和属性。哈希数组的key为HTML标签名，value为HTML属性数组，"."开始的属性表示style属性。

数据类型：Object

 ”

Answer 7

这我晓得，可这个方法会对标签内的属性进行过滤吗？

Answer 8

引用来自#2楼“红薯”的帖子

 

不清楚 strip_tags 的作用，得防止在这些允许的标签上使用一些方法，例如

<img src="..." onmouseover="...."/> 之类的