※ 引述《chan15 (ChaN)》之铭言：
: 今天内文部分提供了 CKEditor，并且开方编辑 source 的权限
: 所以 user 是可以写像 <script>alert(1);</script> 的语法
: 前台为了呈现其他编辑器的效果是不能用 htmlspecialchars 过滤的
: 该如何呈现 HTML 又过滤 xss 呢
在你没有额外设定的时后，CKEditor默认有黑名单会过滤script tag

请爱用推文