Thực tiễn tốt nhất: Làm sạch HTML do người dùng tạo

Question

Tôi đang mã hóa trình thiết kế chiều rộng trình soạn thảo WYSIWYGMode = "on" trên khung nội tuyến. Trình soạn thảo hoạt động tốt và tôi lưu trữ mã như trong cơ sở dữ liệu.

Trước khi xuất html, tôi cần phải "sạch" với php ở phía máy chủ để tránh các đoạn mã cross-site-scripting và những thứ đáng sợ khác. Có một số loại thực hành tốt nhất về cách làm điều này? Thẻ nào có thể nguy hiểm?

CẬP NHẬT: Đã sửa lỗi, đó là những gì bạn thấy là những gì bạn nhận được. Không có gì mới :)

Answer 1

Cách tốt nhất là chỉ cho phép những thứ nhất định mà bạn biết không nguy hiểm và xóa/thoát tất cả những thứ còn lại. Xem bài báo Automated Malicious Code Detection and Removal on the Web (OWASP AntiSamy) để thảo luận về điều này (thư viện dành cho Java, nhưng các nguyên tắc áp dụng cho bất kỳ ngôn ngữ nào).

Answer 2

Nếu bạn đã quen thuộc với ASP .NET, chỉ cần thực hiện một Server.htmlencode() để chuyển đổi các ký tự đặc biệt như <> thành "& g t;" "& l t;"

Trong php, bạn có thể sử dụng các hàm htmlspecialchars().

Khi các ký tự đặc biệt được mã hóa, có thể ngăn chặn cross-site-scripting.

Answer 3

Nếu bạn thực sự muốn cho phép điều này, bạn nên sử dụng cách tiếp cận danh sách trắng.

Cách tiếp cận tốt nhất có thể là không cho phép HTML và sử dụng định dạng đánh dấu đơn giản thay thế; bạn có thể kết xuất trước vào HTML và lưu trữ nó trong cơ sở dữ liệu nếu hiệu suất là một mối quan tâm. Tránh những loại vấn đề là một trong những lý do lớn cho việc sử dụng Markdown, Textile, reStructuredText vv

LƯU Ý: tôi liên kết với GitHub-Flavored Markdown (GFM), không chuẩn Markdown (SM). GFM giải quyết một số vấn đề phổ biến mà người dùng cuối có với SM.

Answer 4

Tôi đã xem xét cùng một câu hỏi gần đây với Perl làm ngôn ngữ phía máy chủ.

Trong khi làm như vậy, tôi chạy vào HTML Purifier có thể là những gì bạn muốn. Nhưng rõ ràng là trong PHP và không phải Perl, tôi đã không thực sự thử nghiệm nó. Ngoài ra, trong nghiên cứu của tôi, tôi đi đến kết luận rằng đây là một doanh nghiệp rất phức tạp và xem xét nếu có thể bằng cách sử dụng một ngôn ngữ đánh dấu đơn giản như Markdown, theo đề xuất của Hank Gay.