Markdown编辑器服务器处理最佳实践

在自己的工程中使用了开源的EpicEditor,一种Markdown编辑器。但是从Markdown编辑器获取的内容在保持到MySQL数据库之前,应该要做一些过滤动作吧。比如引用第三方资源(JS/CSS/iframe),标签转义,避免SQL注入攻击等。

是否有最佳实践?是否有开源的组件可用?

开源的组件我没找到,但是有关这个问题的简单讨论可以看这里,主要防范xss
sql注入的问题你应该使用严格的输入过滤、高级数据库连接类、ORM来防范。

没用过这个开源的编辑器,不知道你传到服务器的内容是 markdown语法内容还是 markdown转译后的html。
后者的话 可以使用Bleach进行html标签清理
for example:

allowed_tags = [a, p, ul, li, h1]
new_html = bleach.linkifybleach.cleanu"value html string",tags=allowed_tags, strip=True

传送门: http://bleach.readthedocs.io/…

发表评论

电子邮件地址不会被公开。 必填项已用*标注