技术问询：用户输入应在入库前还是出库展示时做Sanitize处理？

作为常年和Web安全、数据存储打交道的开发者，我来给你理清楚这个问题的核心逻辑和最佳选择：

优先选「输出展示时处理」，这是行业主流做法 #

大部分场景下，更推荐在从数据库取出内容、渲染到HTML页面的时候做Sanitize处理，原因很实在：

• 留足灵活性：如果以后你需要导出原始用户输入、调整展示规则（比如新增允许的HTML标签），原始数据没被修改过，直接拿出来重新处理就行。要是入库前就把内容改了，以后想反悔都没机会。
• 适配多渠道：要是你的系统后续要对接APP、小程序这些不同的展示端，每个端的安全规则可能不一样，原始数据能让你针对不同渠道做定制化的处理，不会被入库时的单一规则限制死。
• 降低误操作风险：入库前的Sanitize规则要是写错了，误删了用户的合法内容，事后很难恢复；而输出时处理的话，随时可以调整规则重新渲染，容错率高很多。

哪些情况适合入库前处理？ #

当然也有例外场景，适合在入库前就处理：

• 你确定系统永远只需要展示处理后的内容，完全用不到原始输入，而且规则绝对不会变；
• 用户输入里有大量垃圾字符，或者你需要提前过滤掉明显的恶意内容（不过要注意，SQL注入得靠参数化查询防，Sanitize主要是防XSS）。这种情况最好也备份一份原始数据，以防万一。

针对你的代码示例的优化建议 #

看你现在的代码是先把topic做了HTML转义，然后把topiccontent转成Markdown再Sanitize。如果换成输出时处理的思路，可以这么调整：

• 入库阶段：只存用户的原始输入（一定要用参数化查询，避免SQL注入！），不用做任何Sanitize或转义；
• 展示阶段：
  1. 先把原始的topiccontent转成Markdown格式的HTML；
  2. 用sanitizeHtml对这个HTML做过滤，保留你允许的标签和属性；
  3. 对topic做HTML转义或者一起做Sanitize处理，然后再渲染到页面。

给你个调整后的伪代码参考：

// 入库：只存原始数据，用参数化查询防SQL注入
db.save({
  topic: req.body.topic,
  topiccontent: req.body.topiccontent
});

// 展示时处理内容
const storedData = db.getOneById(topicId);
// 把原始Markdown转成HTML
const markdownHtml = markdown.toHTML(storedData.topiccontent);
// Sanitize过滤非法标签和属性
const cleanContent = sanitizeHtml(markdownHtml, {
  allowedTags: ['b', 'i', 'em', 'strong', 'a','h1','h2','h3','h4','h5','h6','img','blockquote','code','br'],
  allowedAttributes: {
    'a': ['href', 'title'],
    'img': ['src', 'alt']
    // 按需添加其他你允许的属性
  }
});
// 处理标题的转义
const cleanTopic = htmlencode.htmlEncode(storedData.topic);

// 最后把cleanTopic和cleanContent渲染到页面模板里

最后再提个关键提醒 #

不管选哪个时机，XSS防护不能偷懒，而且不要只靠一种手段：后端用参数化查询防SQL注入，Sanitize防XSS；前端也可以做基础的输入校验，但核心防护一定得放在后端。要是选入库前处理，一定要反复测试你的规则，别误删用户的合法内容，最好还能备份原始数据。

内容的提问来源于stack exchange，提问作者ŞükSefHam