在数据库中存储格式化的 HTML 文本

Question

我有兴趣让用户在我的网站上“分享”信息，说一些类似于公告板概念的内容。这是我以前从未做过的事情，因为我知道这可能会带来安全问题。

我可能会使用 ColdFusion 作为我的脚本语言。我也熟悉 PHP，但我倾向于 CF，因为它内置了 RichText 控件。数据库后端将是 MySql 或 SQLServer。

因此，我的问题归结为：具体的安全问题是什么？如何筛选用户输入？ SQL存储的方法有什么限制吗（比如VARCHAR vs BLOB）？

Answer 1

我们实际上对网站的主要页面使用了 CMS，其核心是使用数据库与系统上的实际文件。因此，对于我们网站上的大部分内容，我们实际上都有从数据库中检索的 HTML。

例如

blurb.body 将等于 '<p>This is a body paragraph</p>'

然后我们似乎有时会遇到一个字符编码错误。似乎如果有人使用“'”或其他内容将某些文本复制到 CMS，则没有任何东西会自动将其转换为 '。

但是，是的，你应该能够做到。只需确保您在数据库中执行的任何过滤都在输出时正确反转。