如何配置CKEditor从<head>中去除<script>标签?

时间:2017-09-12 13:51:35

标签: javascript html ckeditor xss

我目前正在CKEditor 4.5.8配置文件中使用以下代码从正在编辑的HTML内容中去除&lt; svg&gt; &lt; script&gt; 标记在CKEditor。

&#xA;&#xA;
  config.allowedContent = {&#xA; 1美元:{&#xA; //使用能力将元素指定为对象。&#xA;要素:CKEDITOR.dtd,&#xA; attributes:true,&#xA; styles:true,&#xA; classes:true&#xA; }&#xA;};&#xA;&#xA; config.disallowedContent ='svg; script;';&#xA;  
&#xA;&#xA;

这些当它们包含在&lt; body&gt; 中时,标签都被剥离了,但是当它们包含在&lt; head&gt; 中时,标签全部保留。我特别担心&lt; script&gt; 的问题。

&#xA;&#xA;

如何配置CKEditor去除&lt; script&gt;来自&lt; head&gt; 标签?我缺少一些更深层的配置元素吗?提前致谢!

&#xA;

1 个答案:

答案 0 :(得分:1)

初始化CKEditor时添加其他参数。如果您要编辑包含<html><head><body>元素的整个HTML页面,则需要将config.fullPage选项设置为true:

config.allowedContent = {
    $1: {
        // Use the ability to specify elements as an object.
        elements: CKEDITOR.dtd,
        attributes: true,
        styles: true,
        classes: true,
        fullPage: true
    }
};