我有一个带有 CKEditor（所见即所得）的 textarea 设置，其中允许用户使用一些标记选项输入信息。但是，我需要阻止潜在的黑客利用此功能并输入恶意代码。
我可以使用 PHPs strip_tags() 使用允许的标签数组去除我不想要的标签：http: //php.net/manual/en/function.strip-tags.php
然而，攻击者仍然有可能简单地将onload等添加onclick到允许列表中的任何 HTML 标记。
那么检查此类问题的最佳选择是什么？
我最初的想法是创建一个包含这些 JavaScript 函数的黑名单数组，然后查看它们中的任何一个是否出现在输入的数据中。
这听起来像是一个好方法还是有更好的选择？