Problema con TinyMCE y etiquetas HTML en descripciones

miriam24

Hola a todos,

Estoy teniendo un dolor de cabeza tremendo con el editor TinyMCE predeterminado de PrestaShop. Cada vez que intento guardar una descripción de producto que contiene HTML personalizado, como iframes de YouTube con clases responsive o estilos CSS específicos para tablas, TinyMCE simplemente los elimina al guardar. Necesito una solución para esto, idealmente reemplazando TinyMCE por un editor más moderno como Quill, que sea menos agresivo con el HTML.

He intentado anular parte del comportamiento en AdminProductsController para ver si podía modificar la inicialización del editor, pero no he tenido éxito. Mi idea era cambiar el tipo de campo del editor o la configuración de sanitización. Estoy en PrestaShop 8.1.2.

Aquí un fragmento de lo que intenté en un override de AdminProductsController.php:

class AdminProductsController extends AdminProductsControllerCore
{
    public function __construct()
    {
        parent::__construct();
        // Intentando deshabilitar la sanitización de HTML o cambiar el editor
        $this->js_files = array_filter($this->js_files, function($file) {
            return strpos($file, 'tinymce.min.js') === false;
        });
        // Aquí se cargaría Quill, pero es más complejo de lo que parece

El problema es que, aunque cambie el tipo a textarea, la validación de PrestaShop sigue limpiando el HTML al guardar. ¿Alguna idea de cómo puedo forzar a PrestaShop a respetar el HTML que introduzco?

lucas_tech

Hola @miriam24,

Entiendo perfectamente tu frustración con TinyMCE. Es un clásico de PrestaShop. El problema que describes no es solo el editor en sí, sino más bien cómo PrestaShop maneja la validación y sanitización del contenido HTML al guardar en la base de datos. Tu override en AdminProductsController para cambiar el tipo de campo a textarea y eliminar el JS de TinyMCE es un buen intento para la parte del frontend del formulario.

Sin embargo, PrestaShop tiene mecanismos de sanitización en el backend que se activan al guardar el producto. Cosas como HTMLPurifier y el método cleanHtml() que se usa en varios lugares, especialmente cuando se procesan campos multilingües, son los que realmente están eliminando esas etiquetas y atributos. La versión 8.1.2 que mencionas sigue usando estos filtros. El ProductFormBuilder define los campos, pero la validación final ocurre a nivel de ObjectModel o en el AdminProductController mismo antes de la persistencia.

Milo

Hola @miriam24, @lucas_tech,

@lucas_tech tiene razón. El problema que reportas no reside únicamente en la interfaz del editor TinyMCE, sino en la capa de persistencia de PrestaShop. La plataforma utiliza reglas de sanitización bastante estrictas (especialmente a través de HTMLPurifier y métodos como Validate::isCleanHtml()) que se aplican antes de que los datos se guarden en la base de datos, independientemente del editor que uses en el front-end del Back Office. Esto es una medida de seguridad importante para evitar inyección de código malicioso.

Tu intento de modificar AdminProductsController solo afecta la presentación del campo, pero no la lógica de validación. Para permitir HTML más complejo, tendrías que sobrescribir no solo la inicialización del editor, sino también los métodos de validación que se ejecutan al guardar. Esto implica una sobrescritura más profunda de clases como Product (para validateField()) o incluso AdminProductsController en sus métodos processUpdate() o processAdd(). Es un camino complejo y propenso a errores y fallos de seguridad si no se hace correctamente.

Por ejemplo, para modificar cómo se valida el HTML, tendrías que anular el método isCleanHtml de la clase Validate, lo cual es extremadamente delicado:

class Validate extends ValidateCore
{
    public static function isCleanHtml($html, $allow_iframe = false)
    {
        // Esto es un ejemplo de dónde tendrías que intervenir.
        // NO se recomienda relajar las reglas de seguridad sin un control estricto.
        // Una solución real implicaría configurar HTMLPurifier con reglas muy específicas.
        if (strpos($html, '<iframe') !== false) {
            return true; // Solo como ejemplo, esto es muy inseguro.
        }

Como ves, personalizar estas reglas de forma segura y consistente es complejo y requiere un mantenimiento constante con cada actualización de PrestaShop. Para evitar que el editor elimine etiquetas personalizadas de manera más robusta y sin tocar el core ni arriesgar la seguridad, te recomiendo usar un módulo dedicado. Estos módulos suelen sobrescribir la lógica de inicialización del editor y también ajustan las reglas de sanitización de forma segura para permitir el contenido que necesitas.

miriam24

¡Muchas gracias por la explicación tan detallada, @Milo y @lucas_tech!

Ahora entiendo por qué mi override inicial no funcionaba del todo y que el problema es más profundo de lo que pensaba. La verdad es que la idea de tocar Validate.php me da bastante miedo por la seguridad y por cómo afectaría a futuras actualizaciones.

He revisado el módulo que sugirió @Milo, y parece ser exactamente lo que necesito. Lo he instalado y configurado, y por fin puedo añadir mis iframes y estilos personalizados en las descripciones de los productos sin que PrestaShop los borre.

¡Problema resuelto! Gracias de nuevo a ambos por la ayuda tan valiosa.