如何在解码html时避免XSS

首先，我想要做的事情是显示来自富文本编辑器的值的解码版本。我的意思是，如果来自富文本编辑器的值变为粗体，我希望它显示为这样的，而不是< .b。>像这样< ./b。>
我知道我们可以使用php函数，它被称为 htmlspecialchars_decode（）。但是我想避免使用XSS来编写它。可以做到吗？如果可能的话，我该怎么做？如何在解码html时避免XSS

来源

2012-07-06 Adem İlhan

最简单的方法是更换或不想显示的不好的标签，例如或等...

来源

2012-07-06 19:55:45 sean

那实际上并不那么容易。有太多的标签可能会导致xss。实际上，其中大多数，给予正确的属性（onmouseover等）。 – Erlend 2012-07-08 12:29:19

这是真的，另一个快速简单的方法是用同样的html实体替换< and >。 – sean 2012-07-09 00:07:45

如何在解码html时避免XSS

回答

相关问题