论坛程序既要支持富文本，又要防止 XSS，有没有现成的过滤类使用？

[geeglo]

这个问题纠结了好久，至今没有找到合适的解决办法。

能否有老司机带一下路。

不能用Markdown，用户应该听都没听过这个语法，纯文本的话，太单调了。

我用PHP

[xiaojj]

kses

[yahoo21cn]

换django

[fwrq41251]

https://code.google.com/p/owasp-esapi-php/

[geeglo]

@yahoo21cn 还没PHP用的熟练，换不动。

[g0thic]

是说编辑器嘛？ http://ckeditor.com/ 可以看看

[mcfog]

ubb

如果一定要走html的话，去drupal之类的地方找xss类就好

[kungfuchicken]

你需要的是htmlpurifier，它可以让你安全使用html标签又不会被XSS
http://htmlpurifier.org/

[guchengf]

http://jsxss.com/en/index.html

[otakustay]

用户不关心语法，只关心有多少功能，所以编辑器好的话你依旧可以不用HTML
推荐BBCode为基础的编辑器，都有比较成熟的方案

[qsl0913]

非常同意楼上的

[pubby]

很久以前，我是这么干的：

tidy扩展
走一遍文档树，危险的标签砍掉，危险的属性砍掉，重新合成html，保存入库。

[takashiki]

@guchengf

[takashiki]

@takashiki 手滑

[lianyue]

https://github.com/lian-yue/dom

php 写的html dom 解析器 和 css解析器