是否可以过滤嵌入 htmlspecialchars() 的视频

Question

我允许用户在他们的页面上嵌入视频，但以防我想过滤输出。为了呈现视频，我从数据库中检索了 embed 语句，但是当它被过滤时，它以原始代码的形式呈现。有没有一种视频友好的方式来过滤这样的东西，或者有人对不同的方式有什么建议吗？提前感谢您的任何建议。

while ($row = $query->fetch(PDO::FETCH_ASSOC)) {
$video= htmlspecialchars( $row['video'], ENT_NOQUOTES, 'UTF-8' );
}

echo "$video";

在数据库中，视频将如下所示

    <object width="464" height="368" id="669545" type="application/x-shockwave-flash" 
classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000" alt="Aqua Teen Hunger Force - Hand Banana Funny 
 Videos"><param name="movie" value="http://embed.break.com/NjY5NTQ1"></param><param 
name="allowScriptAccess" value="always"></param><embed src="http://embed.break.com/NjY5NTQ1" 
type="application/x-shockwave-flash" allowScriptAccess=always width="464" height="368"></embed></
object><br><font size=1><a href="http://www.break.com/usercontent/2009/2/Aqua-Teen-Hunger-Force-Hand-
Banana-669545.html" target="_blank">Aqua Teen Hunger Force - Hand Banana</a> - Watch more <a href="http://
www.break.com" target="_blank">Funny  Videos</a></font>

Answer 1

一般来说，在将用户输入插入 HTML 时，您应该是 htmlspecialchars()ing 用户输入。但在这种情况下，您已经拥有 HTML，因此您无能为力。

您无法有效地过滤嵌入式插件。如果您允许用户指定任意 Flash 文件或其他插件，则您已经有效地为他们提供了对您的安全上下文的免费跨站点脚本访问权限，并且再多的字符串清理也无法解决此问题。

如果您确实需要允许用户提交任意 Flash 或其他 <object>/<embed> 代码，则需要在单独的安全上下文中托管该不受信任的代码。通常，您将主站点放在www.example.com 上，并在stuff.example.com 中包含一个<iframe>，它会吐出不受信任的<object> 代码。然后当插件代码试图做一些敌对的事情时，至少它只能影响stuff.example.com，而不是www.example.com上的任何真正的webapp。

或者，您可以只允许用户发布来自您信任的提供商的视频内容，例如。 youtube.com。然后，您只需让他们提交一个 YouTube 视频 ID，并自己构建 <object> 代码以指向该 ID 的 URL。