代码之家 › 专栏 › 技术社区 › Steven

强制在动态文本中关闭标记

wysiwyg tags xhtml ruby-on-rails html

Steven · 技术社区 · 15 年前

在我的许多网站的许多地方,用户可以通过所见即所得或带标记的纯文本输入格式化文本。当然,这样的输入是针对安全威胁进行清理的,但它不会被去掉标记,也不会被完全实体编码。类似的东西 hello world 最终返回到最终用户 你好世界 .

大多数WYSIWYG都足够聪明,可以在将内容转换为表单之前清理XML,但是手动发布请求、非WYSIWYG文本区域和非JS用户不会受到这种向正确方向拉的影响。所以没有什么可以阻止用户输入 <a href="/"> ,将页面的其余部分转换为链接。

最好的治疗方法是什么?

2 回复 | 直到 15 年前

Alohci 15 年前

无论用户提供什么,都要使用HTML解析器来解析它。当它是一个dom时对其进行清理,然后将dom序列化回HTML,并将body元素的内容(如有必要,解析器将创建一个)作为返回给最终用户的字符串。所有必要的元件都有闭合标签。

salchams 15 年前

如果用户将要发送带有未闭合标记的文本,那么发出警告消息是明智的。

如果用户想发布单个标记   ,它应该像   . 或应单独用结束标记关闭  .

推荐文章

code-geek · Jquery根据单选按钮选择隐藏或显示文本字段

7 月前

Jamie · 在CSS链接的文件名中添加Jinja占位符

7 月前

ptownbro · 重叠分区标签,同时保持以下所有分区和内容就位

7 月前

Luke Frost IEng MIMechE · Bootstrap 5.3在Div中的项目位置没有如我所期望的那样显示

7 月前

Reegan · 使用Angular ngFor指令在html中渲染嵌套对象值

7 月前

wqyutv · 当找不到文件时,任何破坏错误的东西都不会出现,我该怎么解决这个问题?

7 月前

user29519291 · 为不同的变量创建一个带有可重用Click函数的简单菜单

7 月前

Gukkey · 在React中明确隐藏日期类型输入后,如果我单击父div,如何显示日期选择器?

7 月前

Lorenzo Bertolaccini · 在Angular项目中通过对话框后,在控制台中显示但在HTML中不显示的数据数组

7 月前

john Rizzo · 按钮背景颜色、悬停和活动状态存在问题

7 月前