PHP: come posso disabilitare il contenuto HTML nei contenuti generati dagli utenti?

Question

Gestisco un sito di social network di nicchia. Vorrei disabilitare il contenuto HTML nei messaggi inviati dagli utenti; come video incorporati ecc. quale opzione c'è in php per pulire questo prima di inserirlo nel db.

Answer 1

È possibile utilizzare la funzione strip_tags().

Answer 2

ci sono tre soluzioni di base:

1. Striscia tutti i tag HTML dal palo. In PHP puoi farlo usando la funzione strip_tags().
2. Codifica tutti i caratteri, in modo che se un utente digita <b>hello</b> viene visualizzato come <b>hello</b>. In PHP questa è la funzione htmlspecialchars(). (Nota: in questa situazione generalmente si memorizza il contenuto nel database così com'è e si utilizzano htmlspecialchars ovunque si invii il contenuto.)
3. Utilizzare un disinfettante HTML come HTML Purifier. Ciò consente agli utenti di utilizzare determinate formattazioni HTML come grassetto/corsivo, ma blocca Javascript dannoso e qualsiasi altro tag che desideri (ad esempio <object> nel tuo caso).