基於用戶輸入的動態插入安全標記

是否有任何允許安全標記的標記？例如：基於用戶輸入的動態插入安全標記

<safe>[User input goes here]</safe>

我期待利用用戶輸入或動態填充的內容，並希望在一定部分被包裹在一個標籤，它不會允許惡意代碼，但由標準委員會決定。

來源

2015-12-03 Anthony Brian Mallgren

如果您要輸出帶有用戶輸入內容的內容，則需要服務器清理您的內容，而不是客戶端瀏覽器。沒有這樣的標籤，如果有的話，如果用戶內容包含結尾標籤，它將被打破。例如，'輸入惡意內容'。 –

好吧，但不會像string.Replace（''，''）; string =''+ string +'';比篩選出一堆內容好得多嗎？另外，瀏覽器能否驗證未關閉的安全標籤，並禁用有問題的內容？ –

沒有標籤會忽略HTML中的HTML，因此替換方法不起作用。另外，瀏覽器不負責檢測標籤的正確關閉。如果你使用PHP，最好的方法是'echo htmlspecialchars（$ user_input，ENT_QUOTES，'UTF-8'）;'這不會過濾用戶輸入，它會將html字符轉換成它們的html等價物。 ''到'<'）。這比試圖過濾內容要好。 –

沒有這樣的HTML元素。

衛生處理最好在服務器端處理。

來源

2015-12-03 06:22:52

基於用戶輸入的動態插入安全標記

回答

相關問題