如何在解碼html時避免XSS

首先，我想要做的事情是顯示來自富文本編輯器的值的解碼版本。我的意思是，如果來自富文本編輯器的值變爲粗體，我希望它顯示爲這樣的，而不是< .b。>像這樣< ./b。>
我知道我們可以使用php函數，它被稱爲 htmlspecialchars_decode（）。但是我想避免使用XSS來編寫它。可以做到嗎？如果可能的話，我該怎麼做？如何在解碼html時避免XSS

來源

2012-07-06 Adem İlhan

最簡單的方法是更換或不想顯示的不好的標籤，例如或等...

來源

2012-07-06 19:55:45 sean

那實際上並不那麼容易。有太多的標籤可能會導致xss。實際上，其中大多數，給予正確的屬性（onmouseover等）。 – Erlend 2012-07-08 12:29:19

這是真的，另一個快速簡單的方法是用同樣的html實體替換< and >。 – sean 2012-07-09 00:07:45

如何在解碼html時避免XSS

回答

相關問題