Unikaj XSS z wejściem BBCode i wyjściem HTML

Question

Obecnie pracuję nad stroną internetową, na której użytkownicy mogą pisać artykuły z niewielkimi możliwościami formatowania (jak pogrubienie, kursywa, lista ...). Używam framework: CodeIgniter.

Jestem początkujący i słyszałem kilka rzeczy o XSS. Chciałbym wiedzieć, co sądzisz o mojej realizacji. Przeczytałem ten temat: What's the best method for sanitizing user input with PHP?

1) Użytkownik pisze swój artykuł, sformatuj go za pomocą BBCode. Używam SCEditor.

2) Podczas zapisywania w bazie danych używam htmlspecialchars() do filtrowania podejrzanych znaczników HTML. Czy mam to zrobić, gdy zapisuję dane lub wyświetla dane?

3) Kiedy chcę wyświetlić artykuł na stronie internetowej (na przykład do innych zastosowań), konwertuję tagi BBCode na tagi HTML.

Czy to właściwy sposób? Czy unikam XSS?

Jestem oczywiście otwarty na sugestie i porady.

Dzięki za odpowiedzi

Answer 1

CodeIgniter walidacji ma właściwość XSS, który zrobi wszystko, tych pracowników

$this->form_validation->set_rules('username', 'Username', 'trim|required|min_length[5]|max_length[12]|xss_clean'); 

Wyjazd walidacji formularza CodeIgniter:

http://ellislab.com/codeigniter/user-guide/libraries/form_validation.html

Answer 2

ja „Znajdź i zastąp "używając PHP, nie sądzę, że jest to najbardziej efektywny sposób na zrobienie tego.

<?php 
    $malicious = "<script>alert(1)</script>"; 
    $malicious = str_ireplace("<", "", $malicious); 
    $malicious = str_ireplace(">", "", $malicious); 
    echo $malicious; 
?> 

Answer 3

<?php 
$malicious = "<script>alert(1)</script>"; 
$malicious = strip_tags($malicious); 
$malicious = htmlentities($malicious, ENT_QUOTES); 
echo $malicious; 
?>