Question de sécurité TinyMCE: Comment empêchez-vous les intrus malveillants? Javascript Girl

Comment éviter les entrées malveillantes dans les éditeurs WYSIWYG comme TinyMCE?

J'ai un système avec des utilisateurs qui ne sont pas "tech savvy" (donc pas de WMD) et ont besoin d'un éditeur de texte enrichi qui publie son contenu dans une base de données.

Je suis préoccupé par les attaques de script et le code de saisie malveillant.

Si vous voulez seulement un html sécurisé, vous devez utiliser le Purificateur HTML . Si vous souhaitez protéger contre XSS et bloquer tout html, vous devez utiliser $var=htmlspcialchars($var,ENT_QUOTES);

Vous ne pouvez pas empêcher cette entrée du côté client. Vous pouvez ajouter des choses pour vous mettre dans la manière (ou essayer), mais il sera toujours trivial de soumettre un code malveillant. Vous avez besoin de désinfecter en PHP.

TOUJOURS TOUJOURS TOUJOURS échappé au contenu envoyé par l'utilisateur avant de l'afficher ( htmlentities prend généralement soin de cela pour vous).

Si vous voulez que le HTML soit soumis (comme vous le dites WYSIWYG), vous devrez désinfecter le HTML qui a été soumis. Quand je dis white-list, je veux dire à la fois le nom et l'attribut de la balise.

Je ne suis pas familier avec CodeIgniter, mais j'ai trouvé ce qui semble qu'il peut faire ce que vous voulez …

Utiliser le plugin de validation JQuery