CKEditor安全最佳實踐

Question

我在我建立的小型PHP/MySQL論壇中使用http://ckeditor.com/。我的問題：

1. 在數據庫中保存這樣的用戶創建的HTML是否安全，然後在我的應用程序中重新顯示它？我應該採取哪些預防措施來保護我的論壇用戶不受腳本注入等的影響？

   <p>test</p> 
   <span style="font-size: 14px;">test</span> 
   

2. 使用BBCode代替HTML會更安全嗎？我嘗試了ckeditor bbcode插件，但它缺少一些基本的格式，如文本對齊...有誰知道如何擴展插件添加文本對齊到它？

Answer 1

關於第一個問題，有你需要做兩兩件事：

1. 安全保存用戶的內容到你的數據庫，這樣，你是不是容易受到SQL注入攻擊。看到這個問題如何最好地處理=>Best way to stop SQL Injection in PHP。

2. 防止某人向您的數據庫提交不安全的HTML，然後將其重新顯示給您的用戶，並使其容易受到XSS攻擊。在這裏有很多關於這個問題的問題。這裏有一個=>XSS Prevention in PHP。