HTML淨化器Codeigniter

Question

我發現了幾個帖子，指出xss_clean不足以淨化用戶輸入。他們中的許多人建議在codeigniter中使用htmlpurifier。

我不知道htmlpurifier究竟做了什麼以及它是如何做的。如何實現html淨化器。

請指導。

Answer 1

xss_clean其實不是一半壞，只是不要指望它是'我使用xss_clean，現在我的整個網站是安全的'意義上的魔法子彈。 您仍然必須驗證輸入和轉義輸出。簡而言之：您必須控制人們可以在您的網站上輸入的內容，而且您不應該信任數據庫中的任何內容，因此您在使用或顯示數據之前先將數據轉義。如果您使用xss_clean和表單驗證來清理輸入，並且在對它進行任何操作或顯示之前先將輸出轉義出來，那麼您應該會很好。

好讀： Codeigniter xss_clean dilemma 和 http://codeigniter.com/forums/viewthread/188698