仅使用HTML编辑器而不是Textarea是否安全?

时间:2011-04-27 10:25:33

标签: tinymce textarea

我正在考虑将我的论坛输入textarea专门转换为TinyMCE HTML编辑器。我已经有了两个选项但是很难保持两者并且在textarea中插入图像需要预览等...

这是一个更普遍的问题。您是否认为将HTML编辑器(包括仅粘贴文本,不允许使用html的过滤器等所有安全措施等)作为论坛上唯一的编辑器包含在内是否安全?它是2011年,机器通常很快,连接更好。

使用HTMl编辑器而不是文本字段有什么缺点?我无法想象博客CMS有“正常”的文本区域用于输入。

但由于某种原因在论坛上我没有看到很多HTML编辑器......即使是TinyMCE网站也有一个textarea用于他们的编辑器。那么有什么值得注意的事情,不要去......?

我知道这更像是一个哲学问题,但我猜你有论坛,博客等方面的经验......

我的网站是关于烹饪和烹饪能够插入图片(并上传它们)简单的方式似乎是我们家庭厨师的一大优点; - )

2 个答案:

答案 0 :(得分:2)

如果您不考虑安全性(您需要在服务器端过滤HTML输入以使其不包含任何危险),那么只剩下用户体验需要考虑。在论坛上,您可以在大多数时间撰写文本。除了粗体,斜体和图像之外,很少使用更多功能。 Stack Overflow中使用的解决方案通过使用非常有限的一组函数来解决这个问题,并使用合理的标记语言在textarea中应用它。

其他论坛要么使用旧软件,要么认为改进的用户体验不值得付出努力。只有textarea的解决方案适合大多数论坛,因为大多数输入都是纯文本的。

我认为你会受益于HTML输入。确保只能发送允许的HTML,因为用户可以绕过客户端的所有内容。

答案 1 :(得分:2)

TinyMCE使用Javascript为现有textarea添加功能。如果禁用Javascript,则无论如何都会向用户显示正常的textarea。

我认为这是相对安全的,只要用户的所有输入在用于任何事情之前在服务器上得到验证。