PHP: Làm thế nào tôi có thể không cho phép nội dung HTML trong nội dung do người dùng tạo?

Question

Tôi chạy một trang web mạng xã hội thích hợp. Tôi muốn không cho phép nội dung HTML trong các tin nhắn do người dùng đăng; chẳng hạn như video được nhúng v.v. tùy chọn nào có trong php để làm sạch điều này trước khi tôi chèn vào db.

Answer 1

Bạn có thể sử dụng chức năng strip_tags().

Answer 2

Có ba giải pháp cơ bản:

1. Strip tất cả các thẻ HTML từ đường bưu điện. Trong PHP, bạn có thể thực hiện điều này bằng cách sử dụng hàm strip_tags().
2. Mã hóa tất cả các ký tự để nếu người dùng nhập <b>hello</b>, nó hiển thị là <b>hello</b>. Trong PHP, đây là hàm htmlspecialchars(). (Lưu ý: trong trường hợp này, bạn thường lưu trữ nội dung trong cơ sở dữ liệu như hiện tại và sử dụng htmlspecialchars bất cứ nơi nào bạn xuất nội dung.)
3. Sử dụng trình vệ sinh HTML như HTML Purifier. Điều này cho phép người dùng sử dụng một số định dạng HTML nhất định như in đậm/in nghiêng, nhưng chặn Javascript độc hại và bất kỳ thẻ nào khác mà bạn muốn (ví dụ: <object> trong trường hợp của bạn).