Как отфильтровать пользовательский ввод от вставки JavaScript?

Question

[0Andrey0]

К примеру, если пользователь вводит пост/комментарий на сайте отформатированный с помощью html тегов, который сохраняется в базе "как есть" и вставляется на страницу из базы так же, то юзер может ввести javascript код и воровать данные других пользователей с этой страницы отправляя ajax запросы к себе. Как отфильтровать ввод/вывод от javascript?

Answer 1

[napa3um]

Отрезать при сохранении все теги кроме входящих в белый список безопасных тегов (к примеру, B, I и H).

Comments

[0Andrey0]

javascript можно вставлять в onclick и другие события этих тегов

[napa3um]

0Andrey0: отрезайте все атрибуты у всех тегов.

Answer 2

[Chronic 86]

Ищите в гугле готовые фильтры, а то больно много вариаций как спрятать тэги от фильтров. Зачем придумывать велосипед заново.