¿Por qué debería usar BBCode pero no HTML en formularios de comentarios?

Question

Estoy escribiendo una función de análisis de comentarios en PHP.

Dado que BBCode no es un lenguaje de marcado real, nunca me ha gustado el estilo de escritura.
Así les doy a los visitantes la posibilidad de usar código HTML básico en formularios de comentarios.
Y al publicar, PHP verificará las etiquetas/atributos no permitidos y no válidos, y los reemplazará o eliminará.

Creo que hace el mismo trabajo y la salida es exactamente la misma que con BBCode.

Si esto es cierto, ¿por qué hay BBCode? ¿BBcode tiene alguna ventaja sobre HTML?

actualización

como monocromo respondió

Si está seguro de que su filtro HTML es lo suficientemente seguro, que debe estar bien aunque

así, no estoy seguro de la escritura el filtro mismo, pero hay algunos filtros mejor valorados como PHP Analizador DOM simple HTML, HTML Purifier, htmLawed ...

The BBCode está desarrollado por UBB y aún se usa ampliamente, como phpBB.

¿Los desarrolladores de UBB/phpBB no están seguros de sus habilidades para escribir un filtro HTML perfecto? (Supongo que no)

Además, al igual que el Markdown que utiliza StackOverflow ... si HTML + Parser hace el trabajo, ¿por qué inventar otro "idioma" de todos modos? (excepto para guardar algunos bits ...)

Answer 1

BBCode elimina el problema de que su filtro HTML pueda tener errores para que el comentador pueda comentar el código que se supone que no debe comentar. Si está seguro de que su filtro HTML es lo suficientemente seguro, debería estar bien sin embargo.

Otro problema es que los comentarios HTML pueden romper su diseño, p. cuando el comentarista pone en un solo cierre </div> o algo así.

Answer 2

Su principal ventaja es la prevención de inyecciones de código no deseadas. Es por eso que usaría algo como BBCode o Markdown.

Al menos debe trabajar con una lista blanca de etiquetas HTML permitidas y no con listas negras.

Answer 3

BBCode se hizo popular ya que permite al usuario un acceso limitado a html mientras trata de evitar XSS. BBCode se hizo popular antes de que existieran soluciones como HTML Purifier. En realidad, BBCode y Html Purifier tienen sus propios problemas de seguridad. Es solo que BBCode era una solución más simple a este problema.

Answer 4

Utilice BBcode + convertir todas las etiquetas a la izquierda htmlspecialchar parece ser totalmente libre de XSS para mí. (a menos que el analizador de BBcode sea realmente súper malo)

En última instancia, ambos alcanzan el mismo objetivo. Actualmente elijo BBcode porque HTMLpurifier auto tira la etiqueta en lugar de reemplazar la etiqueta izquierda con html specialChar. Al menos en la demostración, no vi la función manteniendo la etiqueta izquierda.

Así que hay un problema ya que queremos que el usuario escriba & lt; en lugar de convertirlo automáticamente a <. Y algo más de pereza para validar todos los datos.