防止ckeditor中的漏洞？

Question

1. 我想阻止用戶在我的主機上上傳shell（exploit）。我記得fckeditor，幾乎沒有錯誤可以讓黑客在服務器上傳文件。是否有與ckeditor類似的問題？

2. 如何信任用戶文件並確保它們不是假文件，例如：黑客可以在pdf文件內編輯 - >文件具有pdf擴展名和類型但具有惡意代碼。

3. 是否使用htmlencode，htmldecode足夠用於XSS攻擊？

Answer 1

1. CKEditor的不包括任何文件的上傳，你必須添加的那部分。

2. 同樣，CKEditor沒有這一部分。他們出售CKFinder來填補這個角色，並且它有一些檢查來驗證上傳的文件是否安全，但是您必須非常小心您允許哪些用戶上傳文件到您的服務器。

3. 不可以。如果您使用的是所見即所得編輯器，則不會對提供的數據進行htmlencode編碼，其他基本技巧也不夠。你需要一個完整的支票，如HTMLPurifier