Tinymce 注入安全性

Question

我有公共编辑器，用户可以使用TinyMCE 共享笔记，但我想阻止他们在此编辑器中插入JavaScript 或SQL（任何类型的脚本）。

所以我的问题是：如何？

Here is my editor code

<script src="{{asset('js/tinymce/tinymce.min.js')}}"></script>
<script>
    $(document).ready(function() {
      tinymce.init({
        selector: '.editor',
        toolbar: [
        'bold italic alignleft aligncenter alignright | bullist numlist outdent indent blockquote | removeformat underline strikethrough subscript superscript | hr | link unlink | table',
        'fontselect formatselect fontsizeselect forecolor backcolor'
        ],
        plugins: 'advlist, lists, image, codesample, imagetools, wordcount, link, colorpicker,table,textcolor,hr',
        menubar: false,
        advlist_bullet_styles: 'square',
        advlist_number_styles: 'lower-alpha,lower-roman,upper-alpha,upper-roman',
        branding: false,
        height : 300,
        removed_menuitems: 'tools, insert, view',
        browser_spellcheck: true,
        contextmenu: false
      });
    });
</script>

Answer 1

有一个名为 AntiXSS 的公共类，你可以像下面这样使用它。

string safeHtml = AntiXss.GetSafeHtmlFragment(html);

通常在您的情况下，由于 SQLi 的主体，SQL 注入不会构成威胁。