用了富文本,怎么避免xss攻击
后台过滤就可以了。例如script ，input 标签直接replace掉 ，onclick. onxxx 之类也replace掉。只允许图文的html标记和样式存在。
处理富文体 就像我写这篇博客，我几乎可以随意输入任意字符，插入图片，插入代码，还可以设置样式。这个时要做的就是设置好白名单，严格控制标签。能自定义 css件麻烦事，因此最好使用成熟的开源框架来检查。
存储型可以归类为持久性XSS攻击。反射性XSS反射性XSS的原理是：反射性xss一般指攻击者通过特定的方式来诱惑受害者去访问一个包含恶意代码的URL。