用富文本编辑器还需要在服务器端过滤特殊字符吗？

直接用富文本编辑器的话在后台直接取表单项的值会不会不安全呢？以前好象要过滤< 和 >这种括号。

解决方案 »

  1.   

    我们处理那些特殊字符一般都是在js就阻截了，如果：&<> 之类的也可以转义
      

  2.   

    万一客户端通过URL直接传参数或者把你的页面保存下来改改再提交，你的JS就没用了。用富文本编辑器怎么防止注入等安全问题？
      

  3.   

    你可以想象下 腾讯的qq空间经历了多长时间,才基本上屏蔽了注入的问题,就可想而知了,但是并不是所有网站都像腾讯这样招风的,所以我的建议是,如果你的安全需求不高的话就不用考虑的,最多压缩下js,或混淆下,把提交表单的过程用js搞的十分复杂,什么动态url之类的都可以用上,
    如果安全性高的话还是ubb吧.
      

  4.   

    ubb可以做成图形话的啊,不过我知道你使用的是tinymce,ubb做些简单的还可以,像tinymce这么复杂肯定不行了.
      

  5.   

    文本编辑器不需要过滤 你输入html符号 就给你转义了