仅使用 HTML 编辑器而不是 Textarea 是否安全？

Question

我正在考虑将我的论坛输入文本区域专门转换为 TinyMCE HTML 编辑器。我已经有这两个选项了，但是维护这两个选项并在 textarea 中插入图像需要预览等是很痛苦的......

这是一个比较笼统的问题。您认为将 HTML 编辑器（包括所有安全措施，如仅粘贴文本、不允许过滤 html 等）作为论坛上唯一的编辑器是安全的吗？现在是 2011 年，机器通常很快，连接更好。

使用 HTMl 编辑器而不是文本字段有什么缺点？我无法想象博客 CMS 有“正常”的文本区域供输入。

但由于某种原因，我在论坛上看不到很多 html 编辑器……即使是 TinyMCE 网站也有一个文本区域供他们的编辑器使用。那么，真的有什么需要注意的，不能去的吗...？

我知道这更像是一个哲学问题，但我猜你有论坛、博客等方面的经验......

我的网站是关于烹饪和蜜蜂能够插入图片（并上传它们）的简单方法似乎对我们的家庭厨师来说是一大优势；-)

Answer 1

如果您不考虑安全性（您需要在服务器端过滤 HTML 输入，使其不包含任何危险内容），则只需要考虑用户体验。在论坛上，您大部分时间都在写文字。很少有比粗体、斜体和图像更多的功能。 Stack Overflow 上使用的解决方案通过使用非常有限的一组函数来解决这个问题，并使用健全的标记语言将其应用到文本区域中。

其他论坛要么使用旧软件，要么认为改进的用户体验不值得付出努力。 textarea-only 解决方案非常适合大多数论坛，因为大多数输入都是纯文本的。

我确实认为您会从 HTML 输入中受益。但请确保只能发送允许的 HTML，因为用户可以绕过客户端的所有内容。

Answer 2

TinyMCE 使用 Javascript 向现有文本区域添加功能。如果 Javascript 被禁用，那么无论如何都会向用户呈现一个正常的文本区域。

我会说这是相对安全的，只要用户的所有输入在用于任何事情之前都在服务器上进行验证。