今天内文部分提供了 CKEditor，并且开方编辑 source 的权限
所以 user 是可以写像 <script>alert(1);</script> 的语法
前台为了呈现其他编辑器的效果是不能用 htmlspecialchars 过滤的
该如何呈现 HTML 又过滤 xss 呢

以前是用bbcode之类的限制，script、event都拿掉http://3wa.tw/url.php?id=309 ckeditor有内键的

最简单的方式就是自己写 filter 啊..

http://htmlpurifier.org/ 不晓得合不合你用

addslashes($_POST)stripcslashes($record)