84669 person learning
152542 person learning
20005 person learning
5487 person learning
7821 person learning
359900 person learning
3350 person learning
180660 person learning
48569 person learning
18603 person learning
40936 person learning
1549 person learning
1183 person learning
32909 person learning
如果为了防止xss注入过滤了html标签，富文本编辑器的功能就没有了，一起过滤了，如果留着html，又不能防xss注入。正常一般是怎么处理这个问题的？？？只过滤 特定标签？？？
过滤掉js脚本就行了
入库的时候 转义为实体字符出库的时候还原。并过滤掉javascript:xxx;这种
HTML Purifier是一个采用PHP编写的HTML过滤器,可以搭配WYSIWYG编辑器使用,过滤掉XSS恶意代码.
purify($html);
我觉得白名单就好，留着你要用的标签，其他全部过滤
你的富文本编辑器支持什么功能就不过滤，其他的过滤就行了呗。难道你收到一个p标签你还要区分他是用你的编辑器加的还是自己手动加的？
规定要用自己的一套新语法行不？
![[Web front-end] Node.js quick start](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
过滤掉js脚本就行了
入库的时候 转义为实体字符
出库的时候还原。
并过滤掉
javascript:xxx;
这种
HTML Purifier是一个采用PHP编写的HTML过滤器,可以搭配WYSIWYG编辑器使用,过滤掉XSS恶意代码.
我觉得白名单就好，留着你要用的标签，其他全部过滤
你的富文本编辑器支持什么功能就不过滤，其他的过滤就行了呗。难道你收到一个p标签你还要区分他是用你的编辑器加的还是自己手动加的？
规定要用自己的一套新语法行不？