Säkerheten vid utskrift av text som matats in av tinymce t.ex

Jag hoppas att topic går att förstå och även min förklaring!

Jag har en textarea jag matar in text i med hjälp utav en editor som t.ex http://tinymce.moxiecode.com/ och när man skriver ut så kan jag inte använda mig utav htmlentities t.ex för då blir det bara text och ingen fin design på texten, 

Så min fråga är hur jag kan lösa detta med säkerheten för att ingen t,ex skall kunna skriva <script>alert('hejhoppgrodanboll');</script> ?

när du sparar informationen letear efter element du inte vill godkänna och ersätt dom med &lt;script&gt; eller: http://wiki.moxiecode.com/index.php...nvalid_elements

kan säkert fungera för dig om jag förstå mig på deras API.

Dock kan du ju aldrig lita på en editor som är gjord i Javascript, du måste även ha kollen i din PHP kod.

Men om jag ersätter dom med "&lt;script&gt;" så blir det ju vid utskriften <script> ?

Ja jag tänker inte använda någonting i javascript utan kommer köra php,

Har funderat lite på en funktion & array som ersätter t.ex alert med hejhopp , kan någon sådan lista fungera också också använda funktionen vid utskriften ?

det är ju knappast alert() som är "farligt" vid sådna inmatningar, irretierande, ja kanske, men det är ju inte direkt något farligt med en alert(),

om någon skriver <script>....</script> så är det viktigare att den inte kör skriptet utan antingen ta man bort <script......../script> helt eller så gör man att den skriver ut:

&lt;script&gt;...&lt;/script&gt; så att man ändå kan använda sig av <script> om man exempelvis skriver ett kod exempel.

Så denna fungerar då t.ex ?

  function tecken($text){

      $tecken = array(
         "<",
         ">"

      $tecken_replace = array(
         "&lt;", 
         "&gt;" 

      $text = str_ireplace($tecken,$tecken_replace,$text); 
      
      echo $text;
      
   } 

Någonting blev fel.....

Då menar du så här t.ex.. ?

  function tecken($text){

      $tecken = array(
         "<script>",
         "</script>"

      $tecken_replace = array(
         "&lt;script&gt;", 
         "&lt;/script&gt;"