在ColdFusion中将HTML列入白名单的选项有哪些？

如何解决在ColdFusion中将HTML列入白名单的选项有哪些？

| 我想允许我的用户输入HTML。 要求 允许一组特定的HTML标签。 保留字符（例如，请勿将“ 0”编码为“ 1”） 现有选项 反萨米不幸的是，AntiSamy编码特殊字符并违反了要求2。 原生ColdFusion函数（

HTMLCodeFormat()

等）无法工作，因为它们将HTML编码为实体，因此无法满足要求1。 我在某处找到了这套函数，但是我无法告诉您这是多么安全：http://pastie.org/2072867 那我有什么选择呢？是否有现有的库？     

解决方法

        Portcullis对于特定于攻击的问题的Cold Fusion非常有效。随着时间的推移，我在网上发现了其他一些正则表达式解决方案，这些解决方案效果很好，尽管还没有充实。在15年的时间里（作为CMS开发人员有10年），我建造的任何东西都没有被黑客入侵。 开发任何类型的输入字段时，最好从不同角度看问题。您拥有UI端，其中包括可用性和客户端验证。是的，可以绕过它，但是基于javascript的验证比后端中断方法更快，响应速度更快，并且在神奇的UI规模上具有更高的速率，而无需进行警告即可简单地“消失”。因为它将进行初始筛选，所以它将加快后端验证的速度。因此，它不是一个“替代”类型，而是一个不可忽略的“附加类型”解决方案。 同样在UI方面，为用户提供高质量的编辑器也可以在过程中产生巨大的变化。我个人最喜欢的是CKeditor，因为它是唯一可以在前端处理Microsoft Word代码的代码，它与我的数据库保持着距离。看起来很傻，但是Word HTML是有效的，因此它不会引起任何危险。...但是在中等大小的文档上，无论您相信与否，它都会快速重载DB字段插入最大值。一个好的编辑器不仅会减少输入的愚蠢HTML数量，而且还会为用户带来更快的运...赢/赢。 我亲自对字符进行编码和解码...它始终运行良好，因此我从未改变过实践。