BBCodesの使用... HTMLを解析するか、それを完全に削除しますか？ （XSS/PHP）

Question

私はPHPでミニフォーラムを作成しています。テキストの書式設定と画像の埋め込みが制限されているユーザーの投稿を許可したいのですが、安全に行う（XSS-wise）下のものの最も最適なアプローチ。

1）ユーザー入力からすべてのHTMLタグを取り除き、WYSIWYGエディターのコントロールをBBCodeに置き換えます。 strip_tagsで十分ですか？

2）WYSIWYGでHTML入力を許可しますが、パーサーを使用してHTMLからBBCodeへの出力を変換します。誰もこれのための安全なBBCodeパーサーをお勧めできますか？

他のアイデアは歓迎されていません。

Answer 1

セキュアであるためには、HTMLを解析または削除する必要はありません。印刷する前にすべてhtmlspecialcharsを実行してください。安全です。

さらに、これはBBcodeを使用することと直交しています。エディタに書式設定のためのBBコードを生成させることができます。htmlspecialcharsは決してそれを混乱させません。