今天內文部分提供了 CKEditor，並且開方編輯 source 的權限
所以 user 是可以寫像 <script>alert(1);</script> 的語法
前台為了呈現其他編輯器的效果是不能用 htmlspecialchars 過濾的
該如何呈現 HTML 又過濾 xss 呢

以前是用bbcode之類的限制，script、event都拿掉http://3wa.tw/url.php?id=309 ckeditor有內鍵的

最簡單的方式就是自己寫 filter 啊..

http://htmlpurifier.org/ 不曉得合不合你用

addslashes($_POST)stripcslashes($record)