CKEditor安全最佳实践

Question

我在我建立的小型PHP/MySQL论坛中使用http://ckeditor.com/。我的问题：

1. 在数据库中保存这样的用户创建的HTML是否安全，然后在我的应用程序中重新显示它？我应该采取哪些预防措施来保护我的论坛用户不受脚本注入等的影响？

   <p>test</p> 
   <span style="font-size: 14px;">test</span> 
   

2. 使用BBCode代替HTML会更安全吗？我尝试了ckeditor bbcode插件，但它缺少一些基本的格式，如文本对齐...有谁知道如何扩展插件添加文本对齐到它？

Answer 1

关于第一个问题，有你需要做两两件事：

1. 安全保存用户的内容到你的数据库，这样，你是不是容易受到SQL注入攻击。看到这个问题如何最好地处理=>Best way to stop SQL Injection in PHP。

2. 防止某人向您的数据库提交不安全的HTML，然后将其重新显示给您的用户，并使其容易受到XSS攻击。在这里有很多关于这个问题的问题。这里有一个=>XSS Prevention in PHP。