所见即所得编辑器的消毒

Question

我正在使用所见即所得的编辑器，如果我使用严格的清理规则，那么所有标签都会被删除，我只是想防止 sql 注入，我该怎么做

目前我正在使用类似

的代码

$something= $_POST['content'];

$insert = "INSERT INTO database (content) VALUES($something)";

（未使用任何消毒）

并直接将其添加到数据库中...我如何在所见即所得编辑器的标签不被剥离的情况下验证输入

Answer 1

如果您使用编辑器，通过 HTML 净化器 Class 清理文本输入：http://htmlpurifier.org/