在架构中清理服务器上的 html

Question

我已经安装了mpowaga:autoform-summernote、djedi:sanitize-html 来尝试清理进入simpleschema 的数据，但是我不确定如何让它工作。我只希望用户能够添加“p”和“a”标签以及粗体和斜体样式。我在这里做错了什么？

description: {
       type: String,  
        optional: true,
        autoform: {             
            afFieldInput: {
                type: 'summernote', 
                class: 'editor',
                settings: {
                    allowedTags: ['p', 'a'],
                    toolbar: [
                        ['style', ['bold', 'italic']],
                        ['para', ['ul', 'ol']]
                      ]
                }
            }
        }
    }

Answer 1

我也有同样的问题。

要开始回答您的问题，我认为您不能对您的 SimpleSchema 内部进行消毒（尽管我希望我错了，因为那是最简单的）。据我所知，该设置对象适用于 summer-note's 选项...例如工具栏上将显示什么。我不认为该对象是您可以使用djedi:sanitize-html 功能的地方：

http://summernote.org/deep-dive/ https://github.com/mpowaga/meteor-autoform-summernote/issues/16

这个 GitHub 问题似乎表明 sanitize 应该进入某种 before hook：

https://github.com/mpowaga/meteor-autoform-summernote/issues/13

但是，我认为 autoform 钩子是客户端的，所以 djedi:sanitize-html 不会在那里工作。有一个客户端版本 (djedi:sanitize-html-client)，但我不确定这是否不安全并违背了消毒的目的？

就我个人而言，我正在使用带有方法调用的自动表单。如果解决了我会反馈的。

进一步阅读：

• https://forums.meteor.com/t/ckeditor-outputs-html-how-to-convert-it-for-saving/5981/3
• https://forums.meteor.com/t/template-helpers-and-collection/2223/3
• https://forums.meteor.com/t/meteor-strike-podcast-episode-8-djedi-sanitize-html/17921

Answer 2

在summernote设置中设置允许的标签只会在客户端起作用，并且不安全。你需要这样的东西来清理服务器。

description: {
       type: String,  
        optional: true,
        autoValue: function(){
          return Meteor.isServer ? sanitizeHtml( this.value ) : this.value;
        },
        autoform: {             
            afFieldInput: {
                type: 'summernote', 
                class: 'editor',
                settings: ...
            }
        }
    }