utilizzando htmlpurifier per l'input o l'output di escape/filtering

Question

Sto elaborando un input da parte del pubblico con un editor WYSIWYG javascript e sto pensando di utilizzare htmlpurifier per ripulire il testo.

Ho pensato che sarebbe stato sufficiente utilizzare htmlpurifier sull'input, archiviato l'input pulito nel database e quindi inviarlo senza ulteriori fughe/filtri. Ma ho sentito altre opinioni che dovresti sempre sfuggire all'output.

Qualcuno può spiegare perché avrei bisogno di pulire l'output se sto già pulendo l'input?

Answer 1

Presumo che l'editor WYSIWYG generi HTML, che viene quindi convalidato e inserito nel database. In quel caso, la convalida ha già avuto luogo, quindi non è necessario convalidare due volte.

Per quanto riguarda "l'output di escape", è diverso. Non puoi sfuggire al codice HTML risultante, altrimenti non avrai testo formattato e i tag saranno visibili. L'escape dell'output viene utilizzato quando non si desidera che detto output interferisca con il markup della pagina.

Vorrei aggiungere che devi essere molto attento a ciò che permetti nella fase di validazione. Probabilmente vorrai solo consentire alcuni tag e attributi HTML.

Answer 2

Il mantra sfugge sempre all'output, che è una conversione da testo a HTML, è una buona e ragionevole impostazione predefinita per tornare a quando si lavora nello spazio web. Nel caso di HTML Purifier, stai specificamente rompendo questo buon consiglio, perché stai effettivamente eseguendo una conversione da HTML a HTML e trattando l'HTML come Testo di nuovo non ha molto senso.

Answer 3

Per essere sicuro al 100%, utilizzare HTMLPurifier due volte. Prima di salvare l'HTML in DB e prima di emetterlo sullo schermo.
L'enorme inconveniente di tale soluzione è la prestazione. HTMLPurifier è ultraslow durante il filtraggio di HTML e potresti riscontrare tempi di elaborazione più lunghi delle tue pagine.

Si dovrebbe essere ok se si eseguono solo 1-2 filtri prima di inviare qualcosa sullo schermo, ma se si eseguono 10 filtri per richiesta come abbiamo fatto, abbiamo deciso di non utilizzare HTMLPurifier durante l'output di grandi quantità di testi da conservare.

HTMLPurifier ha richiesto il 60% del tempo di elaborazione per richiesta e abbiamo voluto ottenere tempi di risposta bassi e UX superiore.

Dipende dalla situazione. Se puoi permetterti di usare HTMLPurifier prima dell'output, provalo - è meglio e hai sempre il controllo su quali tag vuoi consentire (per i contenuti nuovi e anche per quelli vecchi memorizzati nel tuo db).