Tại sao tôi nên sử dụng BBCode nhưng không sử dụng HTML ở dạng bình luận?

Question

Tôi đang viết một chức năng phân tích nhận xét trong PHP.

Vì BBCode không phải là ngôn ngữ đánh dấu thực, tôi chưa bao giờ thích phong cách viết.
Vì vậy, tôi cung cấp cho khách truy cập khả năng sử dụng mã HTML cơ bản trong các biểu mẫu nhận xét.
Và khi đăng, PHP sẽ kiểm tra các thẻ/thuộc tính không được phép và không hợp lệ và thay thế hoặc xóa chúng.

Tôi tin rằng nó thực hiện công việc và đầu ra giống hệt như với BBCode.

Nếu điều này đúng, tại sao có BBCode? BBcode có bất kỳ lợi thế nào so với HTML không?

cập nhật

như đơn sắc trả lời

Nếu bạn tự tin rằng bộ lọc HTML của bạn là đủ an toàn, bạn nên sử dụng tốt mặc dù

tốt, tôi không phải là văn bản tự tin bản thân bộ lọc, nhưng có một số bộ lọc được đánh giá hàng đầu như PHP PHP Parser HTML đơn giản, Trình lọc HTML, htmLawed ...

BBCode được phát triển bởi UBB và vẫn đang được sử dụng rộng rãi, chẳng hạn như phpBB.

Các nhà phát triển từ UBB/phpBB có tự tin về kỹ năng của họ để viết một bộ lọc HTML hoàn hảo không? (Tôi đoán là không)

Ngoài ra, giống như Markdown mà StackOverflow đang sử dụng ... nếu HTML + Parser thực hiện công việc, tại sao lại tạo ra một "ngôn ngữ" khác? (ngoại trừ việc tiết kiệm một vài bit ...)

Answer 1

BBCode loại bỏ sự cố bộ lọc HTML của bạn có thể có lỗi để người nhận xét có thể nhận xét mã mà anh ấy không phải nhận xét. Nếu bạn tự tin rằng bộ lọc HTML của mình đủ an toàn, bạn nên ổn.

Một vấn đề khác là nhận xét HTML có thể làm hỏng bố cục của bạn, ví dụ: khi người nhận xét đặt trong một đóng đơn </div> hoặc một cái gì đó tương tự.

Answer 2

Đó là lợi thế chính là ngăn chặn việc tiêm mã không mong muốn. Đó là lý do tại sao tôi sẽ sử dụng một cái gì đó như BBCode hoặc Markdown.

Ít nhất bạn nên làm việc với Danh sách trắng các thẻ HTML được phép và không có danh sách đen.

Answer 3

BBCode trở nên phổ biến vì cho phép người dùng truy cập giới hạn vào html trong khi cố gắng ngăn chặn XSS. BBCode trở nên phổ biến trước đó, nơi các giải pháp như HTML Purifier. Trong tất cả thực tế, BBCode và Html Purifier đều có vấn đề về bảo mật riêng. Nó chỉ là BBCode là một giải pháp đơn giản hơn cho vấn đề này.

Answer 4

Sử dụng BBcode + chuyển đổi tất cả thẻ bên trái thành htmlspecialchar có vẻ hoàn toàn XSS miễn phí đối với tôi. (trừ khi trình phân tích cú pháp BBcode thực sự được thiết kế siêu tồi)

Cuối cùng, cả hai đều đạt được mục tiêu tương tự. Hiện tại tôi chọn BBcode vì thẻ tự động thay thế HTMLpurifier thay vì thẻ bên trái thay thế bằng html specialChar. Ít nhất trong bản demo tôi không thấy chức năng giữ thẻ bên trái.

Vì vậy, có một số vấn đề khi chúng tôi muốn người dùng viết & lt; thay vì tự động chuyển đổi nó thành <. Và một số vấn đề khác của sự lười biếng để xác nhận tất cả dữ liệu.