Php 如果我不允许CKEditor中的Source按钮，我的应用程序是否安全

我使用CKEditor让用户发布他们的评论。我没有在我的论坛中使用bbcode。如果我隐藏CKEditor的source按钮并执行以下步骤

使用htmlspecialchars（）函数处理html元素

用户解析url以确保数据已从我自己的域提交

---

我是否安全地处理用户提交的数据？我还需要使用bbcode吗？我还应该采取哪些步骤使我的应用程序更安全

隐藏该按钮无法保护代码。事实上，你在客户端所做的一切都不会有帮助

我强烈建议您在将其添加到数据库之前检查用户发布的内容。

---

上次我不得不处理这样的事情时，我使用了和的组合，但那是很久以前的事了，我不知道它们是否是现在最好的工具。

在客户端显示“无源代码”按钮不会给您带来安全性。使用parse_url也不会给您带来安全性

htmlspecialchars

确实提供了安全性，但请注意，如果您允许用户使用任何html（如

），则

htmlspecialchars

将使用

和

环境生成粗体文本明文。是否允许用户使用html标记？如果是这样，您将需要过滤允许哪些标记和属性。