PHP BBcode 使用 preg_replace() - 防止用户输入 onClick、onKeyPress

Question

我有一个简单的问题（不适合我），好的，首先请看一下：

$msg=preg_replace("/\[b(.*?)\](.*?)\[\/b\]/i", "<b $1>$2</b>", $msg);

好的，在该 regEXP 上， $msg 将替换找到的任何内容并将其放入新的表单中（我不知道如何解释，举个例子怎么样）：

它会变成

[b]TEXT[/b]

或者

<b>TEXT</b>

它将变成

[b style="color: red;" title="HELLO"]TEXT[/b]

这

<b style="color: red;" title="HELLO">TEXT</b>

是问题的根源，如果它变成：

[b onclick="SOME TROJAN SCRIPT"]TEXT[/b]

变成

<b onclick="SOME TROJAN SCRIPT">TEXT</b>

我想做的就是替换所有属性 [b 之后attribute1 attribute2...attributeN]，该函数将保留这些属性只要它们不以 on 开头（例如 onClick、onMouseOver...）。

我很感激任何建议^^！提前谢谢各位了...

Answer 1

PECL 提供BBCode 包。如果您无法安装 PECL 软件包，还有 PEAR 软件包 eqiv。一旦你解决了这个问题，BBCode 的使用将会变得更加容易。

Answer 2

正则表达式很少是阻止 HTML/JavaScript 相关安全问题的正确工具。

使用 HTML 解析器。

Answer 3

列入白名单比列入黑名单要容易得多，特别是因为恶意用户可以通过多种方式混淆 JavaScript。我会列出一份可接受的条目清单，然后从那里开始工作。是的，我意识到他们在技术上可以在那里有任何 css 条目，但是 (1) 你是那个想要允许用户创建自己的 HTML 的人，实际上会引发各种 XSS 头痛，并且 (2) 这只是一个 标签，因此您应该可以使用一小部分允许的 css 命令。

Answer 4

你在玩火，但这应该可以解决你眼前的问题：

s/\[b(\s*|\s+(?:(?!(?<=\s)on..*?\s*= \s*['"]).)*?)\](.*?)\[\/b\]/$2<\/b>/xi

或 rx = /\[b(\s*|\s+(?:(?!(?<=\s)on..*?\s*=\s*['"]).)*?) \](.*?)\[\/b\]/
和 replacement = $2<\/b>

以及其他一些细微的修复。

编辑示例的测试用例[b onclick="alert('HELLO');"]HELLO[/b]

use strict;
use warnings;

my @samps = (
 '[b]TEXT[/b]',
 '[b on="]TEXT[/b]',
 '[b styleon="color: red;" title="HELLO"]TE
        XT[/b]',
 '[b onclick="SOME TROJAN SCRIPT"]TEXT[/b]',
 '[b onclick="alert(\'HELLO\');"]HELLO[/b]',
);

for (@samps) {
   print "Testing $_\n";
   if ( s/\[b(\s*|\s+(?:(?!(?<=\s)on..*?\s*=\s*['"]).)*?)\](.*?)\[\/b\]/<b$1>$2<\/b>/si ) {
      print " .. passed  $_\n";
   }
   else {
      print " .. failed\n";
   }
}

输出

Testing [b]TEXT[/b]
 .. passed  <b>TEXT</b>
Testing [b on="]TEXT[/b]
 .. passed  <b on=">TEXT</b>
Testing [b styleon="color: red;" title="HELLO"]TE
        XT[/b]
 .. passed  <b styleon="color: red;" title="HELLO">TE
        XT</b>
Testing [b onclick="SOME TROJAN SCRIPT"]TEXT[/b]
 .. failed
Testing [b onclick="alert('HELLO');"]HELLO[/b]
 .. failed