htmlPurifier不与TinyMCE一起使用

Question

我正在使用htmlPurifier来阻止用户的XSS攻击,并且输入type ="text"字段的一切正常.但是,当我尝试清理tinyMCE textareas似乎htmlPurifier不起作用,例如:

简单的输入文本字段

输入:

<script>alert("XSS")</script>Cleaning Test

输出:清洁测试

tinyMCE TEXTAREA

输入:

<script>alert("XSS")</script>

输出: <script>alert("XSS")</script>

我错过了什么 ？为什么htmlPurifier在简单的输入文本和tinyMCE textarea上工作？

Ps.:魔术报价关闭

Answer 1

我想我发现了什么问题.

tinyMCE自动编码实体:

< into &lt;
> into &gt;
" into &quot;
& into &amp;

我尝试在tinyMCE上使用不同类型的entity_encoding,但它们似乎都没有按我的意愿工作,所以我使用PHP:html_entity_decode来解码tinyMCE文本区域,然后我使用htmlPurifier来清理数据,现在一切正常.

希望别人觉得这很有用.