Блог

Я использую редактор TinyMCE на своем сайте. Я хочу изучить способ правильного фильтра для моего ввода при вставке в DB. Какие фильтры необходимо использовать? Например, я получаю этот ввод в БД таким образом;

 $example = $_POST['example'];

<textarea name="example"></textarea>
  

Я не использую htmlscepialchars(); потому что мне нужны html-теги.

«Извините за мой плохой английский».

HTMLPurifier.

Скачать его можно здесь: http://htmlpurifier.org /

Включите его:

 include 'path/to/HTMLPurifier.auto.php';
  

Используйте его:

 $config = HTMLPurifier_Config::createDefault();
$config->set('Core', 'Encoding', 'UTF-8');
$config->set('XHTML', 'Doctype', 'XHTML 1.0 Strict');
$purifier = new HTMLPurifier($config);
$clean_html = $purifier->purify( $dirty_html );
  

И спите спокойно, зная, что в HTML, очищенном подобным образом, нет XSS-атак.

Люди, предлагающие mysql_real_escape_string(), вероятно, не поняли вашего вопроса (или я не понял), вы спрашивали, как фильтровать HTML-разметку из редактора WYSIWYG, чтобы ее можно было безопасно сохранить в базе данных.

mysql_real_escape_string() уместен в качестве защиты от внедрения SQL, но подготовленные инструкции (Google «PDO») лучше подходят для этого.

Если я правильно понимаю, вы хотите сохранить html в своей базе данных и вам нужен какой-то способ его кодирования?

Вы могли бы сделать следующее перед сохранением в БД:

 urlencode($_POST['example']);
  

И когда вы извлекаете, вы можете urldecode($data);