HTML Purifier：根据元素的属性有条件地删除元素

Question

根据 HTML Purifier Smoketest，“格式错误”的 URI 偶尔会被丢弃，留下一个无属性锚标记，例如

XSS 变为 XSS

...以及偶尔被剥离到协议，例如

XSS 变成 XSS

虽然这没有问题，但其本身有点难看。我没有尝试用正则表达式去除这些内容，而是希望使用 HTML Purifier 自己的库功能/注入器/插件/whathaveyou。

参考点：处理属性

有条件地删除 HTMLPurifier 中的属性很容易。这里，库提供了带有方法 confiscateAttr() 的类 HTMLPurifier_AttrTransform。

虽然我个人不使用 confiscateAttr() 的功能，但我确实按照 此线程 将 target="_blank" 添加到所有锚点。

// more configuration stuff up here
$htmlDef = $htmlPurifierConfiguration->getHTMLDefinition(true);
$anchor  = $htmlDef->addBlankElement('a');
$anchor->attr_transform_post[] = new HTMLPurifier_AttrTransform_Target();
// purify down here

当然，HTMLPurifier_AttrTransform_Target 是一个非常简单的类。

class HTMLPurifier_AttrTransform_Target extends HTMLPurifier_AttrTransform
{
    public function transform($attr, $config, $context) {
        // I could call $this->confiscateAttr() here to throw away an
        // undesired attribute
        $attr['target'] = '_blank';
        return $attr;
    }
}

自然，这部分就像魅力一样。

处理元素

也许我对 HTMLPurifier_TagTransform 的关注不够，或者看错了地方，或者通常不理解它，但我似乎找不到办法有条件地删除元素。

说一下，效果如下：

// more configuration stuff up here
$htmlDef = $htmlPurifierConfiguration->getHTMLDefinition(true);
$anchor  = $htmlDef->addElementHandler('a');
$anchor->elem_transform_post[] = new HTMLPurifier_ElementTransform_Cull();
// add target as per 'point of reference' here
// purify down here

使用 Cull 类扩展具有 confiscateElement() 能力或类似能力的东西，其中我可以检查缺少的 href 属性或内容为 http:// 的 href 属性。

HTMLPurifier_Filter

我知道我可以创建一个过滤器，但示例（Youtube.php 和 ExtractStyleBlocks.php）建议我在其中使用正则表达式，我真的宁愿避免，如果可能的话< /em>.我希望有一个板载或准板载解决方案，可以利用 HTML Purifier 出色的解析功能。

不幸的是，在 HTMLPurifier_AttrTransform 的子类中返回 null 并不能解决问题。

任何人都有任何聪明的想法，还是我被正则表达式困住了？ :)

Answer 1

成功！感谢 另一个问题中的 Ambush Commander 和 mcgrailm，我现在正在使用一个非常简单的解决方案：

// a bit of context
$htmlDef = $this->configuration->getHTMLDefinition(true);
$anchor  = $htmlDef->addBlankElement('a');

// HTMLPurifier_AttrTransform_RemoveLoneHttp strips 'href="http:/"' from
// all anchor tags (see first post for class detail)
$anchor->attr_transform_post[] = new HTMLPurifier_AttrTransform_RemoveLoneHttp();

// this is the magic! We're making 'href' a required attribute (note the
// asterisk) - now HTML Purifier removes <a></a>, as well as
// <a href="http:/"></a> after HTMLPurifier_AttrTransform_RemoveLoneHttp
// is through with it!
$htmlDef->addAttribute('a', 'href*', new HTMLPurifier_AttrDef_URI());

它有效，有效，bahahahaHAHAHAHAnhͥͤͫ̀ğͮ͑̆ͦó̓̉ͬ͋h́ͧ̆̈́̉ğ̈́͐̈a̾̈́̑ͨô̔̄̑̇g̀̄h̘̝͊̐ͩͥ̋ ͤ͛g̦̣̙̙̒̀ͥ̐̔ͅo̤̣hg͓̈́͋̇̓́̆a͖̩̯̥͕͂̈̐ͮ̒o̶ͬ̽̀̍ͮ̾ͮ͢Љ̩͉̘͓̙̦̩̹͍̹̕g̵̡͔ ̙͉̱̠̙̩͚͑ͥ̎̓͛̋͗̍̽͋͑̈́̚...! * 狂躁的笑声，咕噜咕噜的声音，脸上带着微笑倒下*

Answer 2

事实上，您无法使用 TagTransform 删除元素，这似乎是一个实现细节。删除节点（比标签稍微高级一点）的经典机制是使用注入器。

无论如何，您正在寻找的特定功能已经实现为 %AutoFormat.RemoveEmpty

Answer 3

为了便于阅读，这是我当前的解决方案。它可以工作，但完全绕过 HTML Purifier。

/**
 * Removes <a></a> and <a href="http:/"></a> tags from the purified
 * HTML.
 * @todo solve this with an injector?
 * @param string $purified The purified HTML
 * @return string The purified HTML, sans pointless anchors.
 */
private function anchorCull($purified)
{
    if (empty($purified)) return '';
    // re-parse HTML
    $domTree = new DOMDocument();
    $domTree->loadHTML($purified);
    // find all anchors (even good ones)
    $anchors = $domTree->getElementsByTagName('a');
    // collect bad anchors (destroying them in this loop breaks the DOM)
    $destroyNodes = array();
    for ($i = 0; ($i < $anchors->length); $i++) {
        $anchor = $anchors->item($i);
        $href   = $anchor->attributes->getNamedItem('href');
        // <a></a>
        if (is_null($href)) {
            $destroyNodes[] = $anchor;
        // <a href="http:/"></a>
        } else if ($href->nodeValue == 'http:/') {
            $destroyNodes[] = $anchor;
        }
    }
    // destroy the collected nodes
    foreach ($destroyNodes as $node) {
        // preserve content
        $retain = $node->childNodes;
        for ($i = 0; ($i < $retain->length); $i++) {
            $rnode = $retain->item($i);
            $node->parentNode->insertBefore($rnode, $node);
        }
        // actually destroy the node
        $node->parentNode->removeChild($node);
    }
    // strip out HTML out of DOM structure string
    $html = $domTree->saveHTML();
    $begin = strpos($html, '<body>') + strlen('<body>');
    $end   = strpos($html, '</body>');
    return substr($html, $begin, $end - $begin);
}

我仍然更愿意有一个好的 HTML Purifier 解决方案来解决这个问题，因此，请注意，这个答案最终不会被自我接受。但如果最终没有更好的答案，至少它可能会帮助那些有类似问题的人。 :)