blocks|key|2642901|text|逃跑是一条路。如果您只需要从html转义中选择几个要转换回来的标记，那么您就不会遇到XSS漏洞。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|2642902|解决方法标记在这方面没有任何优势，许多失败的BBcode解析器都证明了这一点。|2642903|(然而，使用HTMLPurifier代替来回转换可能是明智的。)|2642904|entityMap^0|0|0|0^^$0|@$1|2|3|4|5|6|7|H|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|I|8|@]|9|@]|A|$]]|$1|D|3|E|5|6|7|J|8|@]|9|@]|A|$]]|$1|F|3|-4|5|6|7|K|8|@]|9|@]|A|$]]]|G|$]]

Unescaping is the way to go. If you only whitelist a couple of tags to be converted back from the html escapes, then you won't run into XSS exploits.

Workaround markups provide no advantage regarding that, as the many failed BBcode parsers prove.

(Instead of converting back and forth it might however be sensible to utilize HTMLPurifier instead.)

blocks|key|1445871|text|如果数据库中的HTML来自您不信任的用户，您应该允许他们访问标价或类似的“安全”编辑环境，这样他们就可以准备他们想要的标记，而不允许注入HTML。|type|unstyled|depth|inlineStyleRanges|entityRanges|offset|length|data|1445872|执行选择性筛选的尝试经常是错误的，攻击者无法插入恶意代码。所以不要让他们编写原始HTML。|1445873|entityMap|0|LINK|mutability|MUTABLE|url|https://stackoverflow.com/editing-help^0|U|2|0|0|0^^$0|@$1|2|3|4|5|6|7|N|8|@]|9|@$A|O|B|P|1|Q]]|C|$]]|$1|D|3|E|5|6|7|R|8|@]|9|@]|C|$]]|$1|F|3|-4|5|6|7|S|8|@]|9|@]|C|$]]]|G|$H|$5|I|J|K|C|$L|M]]]]

If the HTML-markup in the database comes from users you do not trust, you should give them access to <a href="https://stackoverflow.com/editing-help">markdown</a> or similar 'safe' editing environments, so they can prepare the markup they want and not be allowed to inject HTML. 

Attempts to perform selective filtering are frequently wrong, and miss ways attackers can inject malicious code. So don't let them write raw HTML.

blocks|key|1445906|text|htmlspecialchars_decode()是htmlspecialchars()的反面。可以取消转义，但是没有限制标记的参数。|type|unstyled|depth|inlineStyleRanges|offset|length|style|CODE|entityRanges|data|1445907|如果html是由用户编写的，那是的坏主意:)|BOLD|1445908|entityMap^0|0|P|Q|I|0|2|4|G|6|0^^$0|@$1|2|3|4|5|6|7|K|8|@$9|L|A|M|B|C]|$9|N|A|O|B|C]]|D|@]|E|$]]|$1|F|3|G|5|6|7|P|8|@$9|Q|A|R|B|C]|$9|S|A|T|B|H]]|D|@]|E|$]]|$1|I|3|-4|5|6|7|U|8|@]|D|@]|E|$]]]|J|$]]

<code>htmlspecialchars_decode()</code> is the opposite of <code>htmlspecialchars()</code>. It is possible to unescape it, but there's no parameter for restricting tags.

If the <code>html</code> is written by the user it is bad idea :)

blocks|key|2642915|text|您可以使用HTMLPurifier库来处理转义所需的一切。下面是一个很好的视频，解释如何将其安装到zend框架中|type|unstyled|depth|inlineStyleRanges|entityRanges|data|2642916|http://www.zendcasts.com/htmlpurifier-integration/2011/05/|offset|length|2642917|entityMap|0|LINK|mutability|MUTABLE|url^0|0|0|1M|0|0^^$0|@$1|2|3|4|5|6|7|M|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|N|8|@]|9|@$D|O|E|P|1|Q]]|A|$]]|$1|F|3|-4|5|6|7|R|8|@]|9|@]|A|$]]]|G|$H|$5|I|J|K|A|$L|C]]]]

You could use the HTMLPurifier library which will take care of everything you need to do with escaping and such. Here is a nice video explaining how to install it into the zend framework

<a href="http://www.zendcasts.com/htmlpurifier-integration/2011/05/" rel="nofollow">http://www.zendcasts.com/htmlpurifier-integration/2011/05/</a>

blocks|key|2642923|text|在第二个参数中尝试使用标签是$+allowable_tags|type|unstyled|depth|inlineStyleRanges|entityRanges|offset|length|data|2642924|entityMap|0|LINK|mutability|MUTABLE|url|http://php.net/strip_tags^0|B|2|0|0^^$0|@$1|2|3|4|5|6|7|L|8|@]|9|@$A|M|B|N|1|O]]|C|$]]|$1|D|3|-4|5|6|7|P|8|@]|9|@]|C|$]]]|E|$F|$5|G|H|I|C|$J|K]]]]

try use <a href="http://php.net/strip_tags" rel="nofollow">strip_tags</a> in the second parameter is the $ allowable_tags

blocks|key|3000791|text|使用Zend_Filter_StripTags类并作为构造函数的参数使用具有以下键的数组：|type|unstyled|depth|inlineStyleRanges|offset|length|style|BOLD|entityRanges|data|3000792|允许使用的“allowTags”=>标记|ordered-list-item|3000793|允许的“allowAttribs”=>属性|3000794|第二部分允许您修剪所有不必要的attrib，如“onClick”等，它们可能与<script>代码一样危险，但您可以将“src”留给<img>，将“href”留给<a>。|CODE|3000795|entityMap^0|2|L|0|0|0|13|8|1U|5|29|3|0^^$0|@$1|2|3|4|5|6|7|P|8|@$9|Q|A|R|B|C]]|D|@]|E|$]]|$1|F|3|G|5|H|7|S|8|@]|D|@]|E|$]]|$1|I|3|J|5|H|7|T|8|@]|D|@]|E|$]]|$1|K|3|L|5|6|7|U|8|@$9|V|A|W|B|M]|$9|X|A|Y|B|M]|$9|Z|A|10|B|M]]|D|@]|E|$]]|$1|N|3|-4|5|6|7|11|8|@]|D|@]|E|$]]]|O|$]]

Use Zend_Filter_StripTags class and as argument for the constructor use an array with following keys:

<ol>
<li>'allowTags' => Tags which are allowed </li>
<li>'allowAttribs' => Attributes which are allowed</li>
</ol>

This second part allows you to trim all unwanted attribs like 'onClick' etc whose can be as dangerous as <code>&lt;script&gt;</code> code, but you can leave 'src' for <code>&lt;img&gt;</code> or 'href' for <code>&lt;a&gt;</code>

blocks|key|1446004|text|创建您自己的视图助手，或者您也可以在控制器中使用setEscape()+(参见http://framework.zend.com/manual/en/zend.view.scripts.html#zend.view.scripts.escaping+)|type|unstyled|depth|inlineStyleRanges|entityRanges|offset|length|data|1446005|entityMap|0|LINK|mutability|MUTABLE|url|http://framework.zend.com/manual/en/zend.view.scripts.html#zend.view.scripts.escaping^0|13|2D|0|0^^$0|@$1|2|3|4|5|6|7|L|8|@]|9|@$A|M|B|N|1|O]]|C|$]]|$1|D|3|-4|5|6|7|P|8|@]|9|@]|C|$]]]|E|$F|$5|G|H|I|C|$J|K]]]]

Create your own view helper or you can also use setEscape() in controller See <a href="http://framework.zend.com/manual/en/zend.view.scripts.html#zend.view.scripts.escaping" rel="nofollow">http://framework.zend.com/manual/en/zend.view.scripts.html#zend.view.scripts.escaping</a>

I have html stored in the database and I need to output it to the page. 

<ul>
<li>If I don't escape() it, then I get the bold formatting I want, but I run the risk of getting an XSS from the unescaped html source. </li>
<li>If I escape() it, then it shows the raw html code <code>&lt;b&gt;bold text&lt;/b&gt;</code> instead of bold text. </li>
</ul>

How can I escape everything, except some tags? I'm thinking to apply the escape(), then search for the <code>&lt;b&gt;</code> and <code>&lt;/b&gt;</code> and unescape them. Would that work? Any security problems you see with it? I'm also not sure how I would search for the <code>&lt;b&gt;&lt;/b&gt;</code> tags. Regex for that maybe or what?

P.S. the escape() I mean is a function in Zend. I believe it's the equivalent of <code>htmlspecialchars()</code>.

unescaping some HTML tags after they've been escaped for XSS

翻译质量差，导致语言生硬或混乱。

没有提供实际的解决方法或示例。

解答不清晰，无法理解或解决问题。

页面排版不美观，阅读体验差。

文章

问答

视频

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

我在数据库中存储了html，我需要将它输出到页面中。如果我不转义()它，那么我就得到了我想要的粗体格式，但是我冒着从未转义的html源代码获得XSS的风险。如果我转义()它，那么它将显示原始的html代码bold text，而不是粗体文本。除了一些标签之外，我怎么能逃避一切呢？我正在考虑应用转义()，然后搜索和并取消它们。那能行吗？你看到它有安全问题吗？我也不确定如何搜

问在一些HTML标记为XSS转义后取消转义
EN

回答 7

Stack Overflow用户

Stack Overflow用户

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问在一些HTML标记为XSS转义后取消转义EN

回答 7

Stack Overflow用户

Stack Overflow用户

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问在一些HTML标记为XSS转义后取消转义
EN