php 入库前需要用 htmlspecialchars 把特殊字符"比如<等"转换吗？还是说原样入库，显示的时候用 htmlspecialchars？

[checkout]

[orderc]

原样入库，输出转义

[Time2]

原样入库，保存攻击样本，输出做处理

[snriud]

入库不需要吧？不过记得转义引号。显示的时候用 htmlspecialchars 以防止有人插入不在预期内的标签。

[linescape]

strip_tags 去掉 script ， nl2br 转一下换行，再 pdo 绑定插入，爱咋注入咋注入

[MrJing1992]

原样入库，输出转义。
否则，用户要编辑他的内容时，你没办法给他原来的内容。

[realpg]

原样入库 输出转义
搞不懂 ueditor 的傻逼逻辑 所有空格转成 nbsp 最后英文都不会换行

[otakustay]

@realpg 找人问了问， getContent 有一个 ignoreBlank 参数，设为 true 就不会转了

[realpg]

@otakustay
求详细
文档我都翻烂了
blank 相关的东西我也直接下载了整篇文档搜过了 只有 htmlPaser 里面有个跟 blank 相关的 是忽略内容里的 blank

[otakustay]

@realpg 我从 demo 上看似乎 getContent()本身就能获取你想要的内容，是否有些什么配置不大对？

[realpg]

@otakustay
你嵌入一个直接提交表单试试 都没用 getContent 直接提交表单的

[sagaxu]

url 转义， html 转义， xml 转义， sql 转义，正则转义，需要转义的地方很多，如果入库前就过滤，跟为了不得性病把自己阉了有什么区别？

[lqs]

原样入库，并使用默认打开转义的模版引擎来渲染前端。

[lijinma]

@sagaxu 你这个比喻很准确。。。

[TaMud]

原样入库！！！！
输出时，根据业务需求转义
省逻辑，省力

[Felldeadbird]

我是先转义在入库的。要是输出时没做过滤，不就产生了安全问题么。

[linkdesu]

@Felldeadbird 年轻人，听前辈们一句吧~~

[bombless]

你不原样入库就产生了很多逗逼应用的问题：在 app 看的时候多了很多&nbsp;之类的奇怪的东西 233
而且你的数据也可能会因为前端改版什么的需要以 JSON 之类的格式出现，到时候你准备怎么办 233

[Felldeadbird]

@linkdesu 反正我做了这么多年开发，没遇到过 先转义 有什么让人困惑的问题。

[z5864703]

在看到这帖子之前都是入库前过滤，现在改成了出库过滤了。。。
现在想了想，重点看业务，一般情况下输出过滤吧，比较好控制各种输出需求。不然把原始信息都丢了，到时候处理误报之类都没的搞了

[msg7086]

@Felldeadbird 首先你怎么转译？转成 HTML 要你输出 JSON 怎么办？
你做了这么多年开发，不会没碰过 HTML 以外的格式吧。