HTMLPurifier без htmlspecialchars

Я использую HTMLPurifier для простого Tinymce WYSIWYG Если я не использую htmlspecialchars , будет ли он открыт для XSS Attack ? Это то, что я делаю

 $detail = $purifier->purify($detail); 

для очистки данных для этого textarea htmlspecialchars Если я использую htmlspecialchars , он также htmlspecialchars все базовые теги, которые не являются удобными для WYSIWYG Но проблема заключается в том, что это позволяет также использовать <script> tag .

• Хорошо ли использовать htmlspecialchars () перед вставкой в ​​MySQL?
• Есть ли способ отправить параметры в функцию обратного вызова, не создавая сначала мою собственную функцию?
• лучше ли убеждать / закодировать пользовательский ввод, прежде чем хранить его в базе данных или сохранить его, как он есть в базе данных, и избежать его при извлечении?
• Справка по импорту csv PHP - Десятичные значения становятся округленными значениями при вставке в таблицу
• Как отображать специальные символы в PHP

И если я изменил conf setting на

 $config->set('ExtractStyleBlocks.1', true); 

Он не позволяет использовать < и > для <script> tag .Convert < и > для <script> Но это показывает <p>This is paragraph</p> , <strong>This text is bold</strong> и поэтому on.It не должен показывать <p> and other simple tags пользователю, а только текст.

Как я могу избавиться от этой проблемы.

Пожалуйста, помогите. Спасибо за ваше время.

редактировать

Вот моя инициализация HTMLPurifier

 $config = HTMLPurifier_Config::createDefault(); //$config->set('ExtractStyleBlocks', true); $config->set('HTML.ForbiddenElements', array('script','style','applet')); $purifier = new HTMLPurifier($config); 

получение данных из базы данных

 while(mysqli_stmt_fetch($stmt1)){ $id=htmlspecialchars($id); $title=htmlspecialchars($title); $detail = $purifier->purify($detail); $posts.="<div id='date_news'><div id='news_holder$id' class='news_holder'><h3 id='show_title'>".htmlspecialchars($title)."</h3>".$detail."</div>"; в while(mysqli_stmt_fetch($stmt1)){ $id=htmlspecialchars($id); $title=htmlspecialchars($title); $detail = $purifier->purify($detail); $posts.="<div id='date_news'><div id='news_holder$id' class='news_holder'><h3 id='show_title'>".htmlspecialchars($title)."</h3>".$detail."</div>"; 

HTML для $detail

В базе данных

 <p><strong>Alu Vazi</strong></p> <p>I love alu vazi with&lt;script&gt;alert("XSS")&lt;/script&gt;</p> 

Экран пользователя

Alu Vazi

Я люблю alu vazi с предупреждением <script> («XSS») </script>

 $config = HTMLPurifier_Config::createDefault(); $config->set('HTML.ForbiddenElements', array('script','style','applet')); $purifier = new HTMLPurifier($config); 

 <p>I love alu vazi with&lt;script&gt;alert("XSS")&lt;/script&gt;</p>