HTML codifica la entrada del usuario al almacenar o al mostrar

Question

Pregunta simple que me sigue molestando.

¿Debo HTML codificar la entrada del usuario de inmediato y almacenar los contenidos codificados en la base de datos, o debo almacenar los valores sin procesar y la codificación HTML cuando se muestran?

Almacenar datos codificados reduce en gran medida el riesgo de que un desarrollador olvide codificar los datos cuando se muestran. Sin embargo, el almacenamiento de los datos codificados hará que la minería de datos sea algo más engorrosa y ocupará un poco más de espacio, a pesar de que generalmente no es un problema.

Answer 1

sugiero encarecidamente la codificación de la información en el camino de salida. almacenar datos sin formato en la base de datos es útil si desea cambiar la forma en que se ve en un determinado punto. El flujo debe ser algo similar a:

sanitize user input -> protect against sql injection -> db -> encode for display 

pensar en una situación en la que es posible que desee mostrar la información como un feed RSS en su lugar. tener que rehacer cualquier codificación específica de HTML antes de volver a mostrar parece un poco tonto. cualquier desarrollo siempre debe seguir el meme de "no confiar en la entrada", ya sea que la entrada provenga de un usuario o de la base de datos.

Answer 2

Tenga en cuenta que es posible que necesite acceder a la base de datos con algo que no comprende el texto codificado en HTML (por ejemplo, una herramienta de informes). Estoy de acuerdo en que el espacio no es un problema, pero en mi humilde opinión, poner codificación HTML en la base de datos mueve el conocimiento de su vista/interfaz al nivel más bajo de la aplicación, y ese es un error de diseño.

Answer 3

La codificación solo debe hacerse en la pantalla. Sin excepción.

Answer 4

Salida.

Con HTML no se puede simplemente comprobar longitud de una cadena (& es 1 carácter, pero strlen() le dirá 5), puede recortar fácilmente (que podría romper las entidades).

Es posible que necesite mezclar cadenas de la base de datos con cadenas de otra fuente, o leerlas y volver a escribirlas. Hacer esta aplicación sin perder ningún escape y evitar el doble escape es una pesadilla.

PHP intentó hacer algo similar con magic_quotes y resultó ser una gran falla. ¡No tome la ruta magic_entities! :)

Answer 5

¿Esto no defrauda el propósito de la codificación? Si se ingresa un script sql malicioso como entrada, que luego se pasa al db, podría causar un gran problema.