将 fckeditor 图像限制为仅来自我的域的图像

Question

我有一个会员网站，我们使用精彩的 fckeditor 的非常锁定版本来发布会员内容。最近，我们开始允许使用表情符号，这让会员感到高兴，但也引入了一个潜在的漏洞，因为现在可以插入来自其他域的图像以及我们提供的表情符号。

发布的所有内容都会经过预览阶段，在此期间对发布的内容进行清理，所以我想我需要一些额外的 php 来删除任何 src 表明它不是来自我们域的 img 标签（假设它是“xyz.com”） ”）。正如 drf 在第一条评论中指出的那样，这并不像最初看起来那么简单。

我确信这也适用于其他人，但我没有找到解决方案和解决方案。正则表达式不是我的强项。一如既往，任何和所有的帮助&如有建议，我们将不胜感激。

Answer 1

有些人会告诉您 RegExp 不适合解析 HTML/XHTML。我就是其中之一。尝试使用 XML 解析器：

<?php
$dom = new DOMDocument;
$dom->loadHTML(file_get_contents('input.html'));
$xpath = new DOMXpath($dom);
$img = $xpath->query('//img');
foreach($img as $i) {
    $url = parse_url($i->getAttribute('src'));
    if(isset($url['host']) && in_array($url['host'], array('yourdomain.com', 'www.yourdomain.com')) == false) {
        // show an error
        // -- or --
        // remove the tag: $i->parentNode->removeChild($i)
        echo sprintf('[FAIL] %s' . PHP_EOL, $i->getAttribute('src'));
    }
    else {
        echo sprintf('[PASS] %s' . PHP_EOL, $i->getAttribute('src'));
    }
}

示例输入：

<p>Lorem ipsum dolor sit amet, consectetur adipiscing elit.</p>
<p><img src="/image.jpg"></p>
<p><img src="http://yourdomain.com/image.jpg"></p>
<p><img src="http://www.yourdomain.com/image.jpg"></p>
<p><img src="http://otherdomain.com/image.jpg"></p>

示例输出：

[PASS] /image.jpg
[PASS] http://yourdomain.com/image.jpg
[PASS] http://www.yourdomain.com/image.jpg
[FAIL] http://otherdomain.com/image.jpg