html编辑器显示时的安全问题？

[gdwebinfo1]

请问类似动网一样的 html编辑器，在写入时，好像没有什么过滤，但如果在显示时，又原样显示，如果写入时有恶意代码或者asp执行程序等，应该如何处理呢？

[Onlyfu]

找个XX字符替换掉你的危险字符写入数据库，读取的时候再把它替换回来后再输出显示不就OK了

[gdwebinfo1]

写入的时候倒没太大关系
主要是显示的时候 因为有时要显示程序代码，但有时又不知道是不是恶意的，不知动网这种功能是如何实现的，难道他们也有一个数组是专门用来屏蔽掉恶意代码的吗？

[starytx]

其实就是你自己写一个转换函数，把你认为危险的或者是应该显示出来（而不是当作代码来执行）的replace替换掉就可以了

[kaijier]

mark

[hacker18]

用Server.HTMLEncode方法过滤掉就行了。