Сохранение тегов SCRIPT (и более) в CKEditor

Можно ли создать блок кода внутри CKEditor, который не будет затронут самим редактором и будет поддерживаться в его предполагаемом состоянии до тех пор, пока пользователь не будет явно изменен пользователем? Я пытаюсь ввести переменные javascript (привязанные к тегам script) и следующий флеш-ролик, но CKEditor продолжает переписывать мой вставленный код/разметку и при этом разбивать мой код.

Я работаю со следующей настройкой:

<script type="text/javascript">
  var editor = CKEDITOR.replace("content", {
    height : "500px",
    width : "680px",
    resize_maxWidth : "680px",
    resize_minWidth : "680px",
    toolbar :
    [
      ['Source','-','Save','Preview'],
      ['Cut','Copy','Paste','PasteText','PasteFromWord','-','Print', 'SpellChecker', 'Scayt'],
      ['Undo','Redo','-','Find','Replace','-','SelectAll','RemoveFormat'],
      ['Bold','Italic','Underline','Strike','-','Subscript','Superscript'],
      ['NumberedList','BulletedList','-','Outdent','Indent','Blockquote'],
      ['JustifyLeft','JustifyCenter','JustifyRight','JustifyBlock'],
      ['Link','Unlink','Anchor'],
      ['Image','Table','HorizontalRule','SpecialChar']
    ]
  });
  CKFinder.SetupCKEditor( editor, "<?php print url::base(); ?>assets/ckfinder" );
</script>

Я полагаю, что самым идеальным решением было бы сохранить содержимое любого тега, содержащего class="preserve", позволяющего гораздо больше, чем ограниченные эксклюзивы.

Обновление. Я думаю, что решение этой проблемы находится в CKEDITOR.config.protectedSource(), но мой обычный -expression опыт оказывается слишком несовершеннолетним, чтобы справиться с этой проблемой. Как я могу исключить все теги, которые содержат "сохраненный" класс от касания CKEditor?

Ответ 1

Проблема не с CKEditor. Вместо этого проблема заключалась в том, что MVC-Engine запускает сам сайт. Kohana имеет global_xss_filtering в своей конфигурации, которая включена по умолчанию. Это предотвращает отправку тегов script, чтобы предотвратить атаки на вашем сайте. Изменение этого значения до false позволит отправлять теги <script> в формах, но также открывает сайт для потенциальных проблем безопасности, которые могут быть очень серьезными. Желательно, чтобы вы не отключили global_xss_filtering.

/* /(system|application)/config/config.php - line 66 */
/**
 * Enable or disable global XSS filtering of GET, POST, and SERVER data. This
 * option also accepts a string to specify a specific XSS filtering tool.
 */
$config['global_xss_filtering'] = FALSE;

Ответ 2

Предложение 1: Создайте отдельный текстовый ящик для администратора, чтобы ввести скрипты/код HTML.

Предложение 2: Представьте bbcode, например [script][/script] или [html][/html], которые администраторы могут использовать для размещения сценариев/кода HTML, и их серверная версия переводит их в <script></script> и HTML-код. Убедитесь, что при показе сохраненного содержимого в CKEditor вам нужно сначала перевести их на серверный bbcode (или CKEditor отключит их). Или менее сложным способом является сохранение представленного содержимого в базе данных по мере его ввода и только перевод при отображении страницы.

Предложение 3. Поскольку вы хотите использовать class="preserve" для отметки тэгов, вы не хотите, чтобы CKEditor отключился, добавьте следующие строки JavaScript при инициализации редактора:

// protect <anytag class="preserve"></anytag>
CKEDITOR.config.protectedSource.push( /<([\S]+)[^>]*class="preserve"[^>]*>.*<\/\1>/g );
// protect <anytag class="preserve" /><
CKEDITOR.config.protectedSource.push( /<[^>]+class="preserve"[^>\/]*\/>/g );

Ответ 3

В папке CKEDITOR есть файл config.js. Откройте его и вставьте код:

CKEDITOR.editorConfig = function( config ) {
    config.allowedContent = {
        script: true,
        $1: {
            // This will set the default set of elements
            elements: CKEDITOR.dtd,
            attributes: true,
            styles: true,
            classes: true
        }
    };
};

Это позволит тегам <script>...</script> в режиме источника.