HTML-коды, отображающиеся на странице HTML-данные

Question

Я новичок в Codeigniter. Просто используйте его в моем проекте за последние 2 месяца. У меня есть раздел комментариев в моем проекте. Где кто-нибудь может давать комментарии. Все вещи идут идеально, но когда когда-либо кто-то помещает HTML-контент (изображение/видео) &, тогда, когда они отображаются в разделе комментариев ... прямые HTML-коды отображаются на странице комментариев, а не в HTML-контенте (изображение/видео).

пример: когда я коплю любой «вставлять код видео юности» в поле для комментариев & кроме того, что из положить приходят как «сырые коды Вставить видео», а не Youtube видео ... ..

Я чувствую, это должно быть второстепенным, но на самом деле не может понять, где произошла ошибка. Plz, если у какого-либо органа есть решение, ответьте мне как можно скорее.

Answer 1

В качестве быстрого взлома вы можете сделать htmlspecialchars_decode при отображении комментария в своем представлении. Это очень опасно, хотя без использования санитарии, когда вы получаете комментарий - поиск xss_clean на this page. Вы также должны использовать strip_tags, чтобы удалить все теги HTML, которые вам не нужны (все, кроме видео тегов), до вставки комментария в базу данных.

Answer 2

У меня была аналогичная проблема, когда я возвращался назад - желая дать конечным пользователям возможность размещать видео на YouTube, но не позволять им просто публиковать что-либо без какой-либо защиты XSS.

В результате я использовал htmlpurifier - http://htmlpurifier.org/, чтобы отфильтровать содержимое, отправленное в форму.

Существует модификация, которая может быть внесена в белый список, который позволяет использовать код YouTube через очиститель.

http://htmlpurifier.org/docs/enduser-youtube.html

До сих пор, что это работает хорошо, но моя система все еще находится в стадии разработки.

Answer 3

Не удалось создать систему, в которой кто-то просто запустит ссылку на youtube и через комбинацию регулярных выражений, которую ваша собственная система генерирует сам объект/код для встраивания, поэтому нет опасности для безопасности?