Как обезопасить сайт при использовании WYSIWYG редактора?

Question

[sitev_ru]

Использую WYSIWYG редактор для редактирования статей другими пользователями, в нём можно вставлять HTML-теги... Так можно же вставить какой-нибудь вредоносный код... Как обезопасить сайт?

Answer 1

[vityabond]

jevix.ru

Answer 2

[Arman]

Обычно на сайте самих редакторов есть раздел Безопасности и там обычно уже есть готовые решения, допустим
imperavi.com/redactor/docs/security

Answer 3

[Костя]

Использовать что то аля htmlpurifier.org на русском habrahabr.ru/company/smartprogress/blog/202188

Answer 4

[Сергей Иванов]

как по вашему выглядит вредоносный код и чем WYSIWYG отличается от простого textarea по своим свойствам?
Если вы не хотите запретить вставку iframe или js то проверяйте через регулярку входные данные.

Comments

[sitev_ru]

Конечно же отличается... Для textarea я просто запрещу все теги... Я с редактором WYSIWYG теги нужны, но не все...

[Сергей Иванов]

sitev_ru: Вы имеете в виду bbcode www.wysibb.com/demo какой то такой редактор? Если простой WYSIWYG, то разницы нет ( если убирать функции работающие через AJAX - они могут быть дырой в безопасности если на сервере не проверять )

[Сергей Иванов]

sitev_ru: Владислав Турчинский правильно написал