如何允许 href='javascript:myFunc()'使用 HTML 净化器？

Question

我有一些在本地编写的 HTML，想通过 HTML 净化器运行它。它完全是我生成的，所以我知道不存在 XSS 漏洞。我试图通过净化器运行它，但是无论我如何尝试， href='javascript:myFunc()' 都会被解析出来。

我当前的设置是：

$string = file_get_contents($myHTMLFile);
$schemes = array (
    'http' => true,
    'https' => true,
    'mailto' => true,
    'ftp' => true,
    'nntp' => true,
    'news' => true,
    'javascript' => true,
);
$config = HTMLPurifier_Config::createDefault();
$config->set('URL.AllowedSchemes', array($schemes));
$purifier = new HTMLPurifier($config);
$string = $purifier->purify($string);

这根本不起作用 - 所有 javascript 都被删除。

我已经查看了所有各种 HTML Purifier 配置设置，但找不到我需要的内容。有答案吗？

提前致谢

Answer 1

简单的答案：不要在其上使用 HTML Purifier。请改用 HTML Tidy 之类的东西。

更复杂的答案：不要使用 javascript: URL；相反，将类属性附加到您想要具有 JavaScript 的链接，然后让 JavaScript 处理程序查找具有此类的链接并将 JavaScript 代码附加为 onClick 处理程序。

更复杂的答案：创建一个新的 javascript URI 方案并对其进行编程以仅接受您的函数的固定字符串。