使用htmlpurifier进行输入或输出转义/过滤

Question

我正在使用javascript所见即所得编辑器处理来自公众的用户输入，并计划使用htmlpurifier清理文本。

我认为在输入上使用htmlpurifier就足够了，将清理过的输入存储在数据库中，然后在不进一步转义/过滤的情况下输出。但我听到其他意见，你应该总是逃避输出。

有人可以解释为什么我应该需要清理输出，如果我已经清理输入？

Answer 1

我假设您的所见即所得编辑器生成HTML，然后验证并放入数据库。在这种情况下，验证已经发生，因此不需要验证两次。

至于“逃避输出”，这是另一回事。你不能逃避生成的HTML，否则你将不会有格式化的文本，并且标签将是可见的。当您不希望所述输出干扰页面的标记时，使用转义输出。

我想补充一点，您必须非常小心您在验证阶段允许的内容。你可能只想要允许一些HTML标签和属性。

Answer 2

咒语总是逃避你的输出，这是一个文本到HTML的转换，是一个很好的和合理的默认回退到在网络空间工作时。在HTML Purifier的情况下，你特别打破了这个好建议，因为你确实正在执行HTML到HTML的转换，并将HTML视为Text再次没有意义。

Answer 3

为了100％安全起见，请使用HTMLPurifier两次。将HTML保存到数据库之前以及在将其输出到屏幕之前。
这种解决方案的巨大缺点是性能。在过滤HTML时，HTMLPurifier超慢，您可能会遇到更长的页面处理时间。

如果您在输出某些内容之前只执行1-2次筛选，但是如果您对每个请求执行10次筛选，我们宁愿在输出大量文本时不要使用HTMLPurifier。

HTMLPurifier每个请求处理时间花费了60％，我们希望实现低响应时间和更高UX。

这取决于你的情况。如果你在输出之前可以使用HTMLPurifier，那就去做吧 - 这会更好，而且你总是可以控制你想要允许的标签（对于新的甚至是存储在你的数据库中的旧内容）。