php - 確保純文本的最安全方法

Question

什麼是阻止用戶將html或javascript添加到字段的最安全的方法。我添加了一個youtube風格的'描述'，用戶可以在其中解釋他們的工作，但除此之外我不想要其他任何內容，並且最好不要使用諸如'<'或'>'之類的垃圾郵件。

我可以做這樣的事情：

$clean = htmlentities($_POST['description']); 

if ($clean != $_POST['description']) ... then return the form with an error? 

Answer 1

你見過strip_tags？

Answer 2

strip_tags（）可能是最好的選擇。

你不需要檢查清潔後的代碼與原始代碼並拋出錯誤。只要它被清理乾淨，你應該能夠顯示它。只要扔掉原來的評論。你可以在文本框下面放一個註釋，說如果你想讓它更加用戶友好，就不允許使用html。

Answer 3

使用strip_tags()而不是htmlentities()。
而且方法沒問題。

Answer 4

如果您要在MySQL中存儲數據，請不要忘記mysql_real_escape_string（）。

Answer 5

htmlspecialchars()，如果使用得當（請參閱註釋），是確保純文本的最安全方法。當輸出具有所有HTML特殊字符時，沒有辦法注入任何HTML或JavaScript。如果您使用strip_tags，則會阻止用戶使用完全合法的字符。