富文本和参数化查询，我应该担心吗？

Question

对于这个特定的项目，我将使用 PHP 5.3 & 带有参数化查询的 MySQL 和 CKE 编辑器。

关于我的情况的一些背景：

网站上的用户不会相互交互。

所有用户仅与我进行私人对话（机密信息），其中包含富文本。

我限制了 CKE 编辑器，将用户限制为基本的 html、粗体、图像和其他格式。

现在，有两件事：

1.）我还需要某种形式的验证吗？如果用户尝试以富文本形式输入 html 或 php 或任何其他代码，是否会对我的网站产生任何影响？或者一旦从数据库中回显，它只会以简单文本的形式输出？

2.)还有什么我应该担心的吗？

我还没有开始这个项目，所以我要求在我到达用户输入部分时做好准备。

针对我的情况，您建议我做什么？

Answer 1

1.)我还需要某种形式的验证吗？如果用户尝试输入
html 或 php 或任何其他代码
富文本形式，可以有吗
对我的网站可能有影响吗？或者会不会
仅作为简单文本输出一次
它是从数据库中回显的吗？

当然你应该这样做，有很多方法可以使用 unicde、十六进制和更多格式来绕过这些方法。

2.)还有什么我应该担心的吗？

您应该担心跨站脚本 (XSS)。您需要在以下位置使用 htmlentities 函数最低限度。

echo htmlentities($text, ENT_QUOTES, "UTF-8");

可能的解决方案：

您可以使用HTML Purifier：

HTML Purifier 是一个符合标准的
用 PHP 编写的 HTML 过滤器库。
HTML Purifier 不仅会删除所有
恶意代码（更广为人知的名称是
XSS）经过彻底审核，
安全但宽容的白名单，它
还将确保您的文件
符合标准，仅此而已
可以通过全面的
了解 W3C 规范。

有用资源：

• PHP 安全指南