在我的页面上显示用户输入

Question

在我们的应用程序中，我们允许用户使用WYSIWYG编辑器编写他们的Bio，但它通常包含坏的HTML，这会破坏我们的页面。在iframe中显示用户简历，这样就不会影响页面的其余部分，这是不是一个好主意？或者其他更好的选择？

谢谢

Answer 1

这不是个坏主意，但是为什么你不在保存之前验证html呢？或者这不是坏事，只是丑陋而已？大多数编辑器都有整洁的办公格式。或者这是一个业务要求，允许输入HTML？

但是iframe是最安全的方式，我会说去做吧！

Answer 2

你可以考虑像Stack Overflow uses for profiles, answers, etc一样限制你的用户使用Markdown。

要进一步阅读，您可能需要检查以下内容：

• Stack Overflow: “Safe” markdown processor for PHP?
• WMD: The Wysiwym Markdown Editor
• PHP Markdown
• Stack Overflow: running showdown.js serverside to conver Markdown to HTML (in PHP)

Answer 3

一种解决方案是过滤HTML，以确保它是"OK“：

• 有效的超文本标记语言
• ，它只包含您希望允许
• 的标记，并且不会导致任何安全问题。

一个很好的工具就是HTMLPurifier (引用)：

PHP是一个用

编写的符合标准的HTML filter库。HTML Purifier不仅可以删除所有恶意代码(更广为人知的XSS)，还可以使用经过全面审核、安全且许可的白名单，还可以确保您的文档符合标准

基本上，一旦用户输入了HTML，在将其保存到数据库之前，您将通过HTML Purifier传递它，它将确保它是有效的，并删除您没有指定为“允许”的任何标记/属性。