XSS 预防，Tidy 与 Purifier？

Question

您好，

我正在尝试使用 CKEditor（一个 javascript WYSIWYG 编辑器）来防止输入字段中的 XSS 和不正确的 html。

我应该如何在服务器端过滤这些数据？我比较的两个选项是 PHP Tidy 和 HTML Purifier。我对速度、安全性和有效嵌套感兴趣。

编辑：

根据 HTML Purifier，Tidy 不能防止 XSS。因此，让我指定我首先通过

strip_tags($input,'

在传递给 Tidy 之前

Answer 1

HTML Purifier 将输入限制在 strip_tags 的范围之外。 strip_tags 不会从您允许的标签的属性中剥离 JavaScript。我绝对推荐使用 HTML Purifier。 HTML Purifier 速度不快，但添加/编辑执行通常不如视图频繁，因此性能不成问题。