Я обрабатываю пользовательский ввод от публики с помощью редактора javascript WYSIWYG и планирую использовать htmlpurifier для очистки текста.
Я думал, что будет достаточно использовать htmlpurifier на входе, сохранить очищенный ввод в базе данных, а затем вывести его без дальнейшего экранирования/фильтрации. Но я слышал и другие мнения, что всегда следует избегать вывода.
Может кто-нибудь объяснить, почему мне нужно очищать вывод, если я уже очищаю ввод?
Я предполагаю, что ваш редактор WYSIWYG генерирует HTML, который затем проверяется и помещается в базу данных. В этом случае валидация уже прошла, поэтому дважды валидировать не нужно.
Что касается "ухода от вывода", то это другое дело. Вы не можете избежать полученного HTML, иначе у вас не будет форматированного текста, а теги будут видны. Экранирование вывода используется, когда вы не хотите, чтобы указанный вывод мешал разметке страницы.
Я бы добавил, что вы должны быть очень осторожны с тем, что вы разрешаете на этапе проверки. Вероятно, вы захотите разрешить только несколько HTML-тегов и атрибутов.
Чтобы быть на 100% безопасным, используйте HTMLPurifier дважды. Перед сохранением HTML в БД и перед выводом на экран.
Огромным недостатком такого решения является производительность. HTMLPurifier очень медленный при фильтрации HTML, и вы можете столкнуться с более длительным временем обработки ваших страниц.
Вы должны быть в порядке, если вы выполняете только 1-2 фильтрации перед выводом чего-либо на экран, но если вы выполняете 10 фильтров на запрос, как мы, мы решили не использовать HTMLPurifier при выводе большого количества текстов, чтобы сохранить.
HTMLPurifier занимал 60% времени обработки каждого запроса, и вместо этого мы хотели добиться меньшего времени отклика и более высокого UX.
Это зависит от вашей ситуации. Если вы можете позволить себе использовать HTMLPurifier перед выводом, сделайте это - это лучше, и вы всегда можете контролировать, какие теги вы хотите разрешить (для нового и даже для старого контента, хранящегося в вашей базе данных).
Мантра всегда избегать выходных данных, которая представляет собой преобразование текста в HTML, является хорошим и разумным вариантом по умолчанию, к которому можно вернуться при работе в веб-пространстве. В случае с HTML Purifier вы специально нарушаете этот хороший совет, потому что вы действительно выполняете преобразование HTML в HTML, и обработка HTML как текста снова не имеет смысла.
