使用 php 保护简单所见即所得的最佳方法

Question

我在我的网站中添加了一个简单的所见即所得编辑器。 （它只允许 B / I / U - 不再）
我目前将所有内容以 html 形式存储在数据库中 - 但添加 或其他恶意代码很简单）

PHP 中解析此内容的最佳方法是什么输入安全吗？ 如何将 、 等实现为白名单并对其他所有内容进行编码？

Answer 1

HTMLPurifier

我只是要把这个扔出去，可能会不可避免地受到批评。我不会使用 strip_tags 来保护您所见即所得的表单......永远（除非您想激怒您的用户）。

它不会保护您的表单，并且您可能会扼杀用户的体验。

Chris Shiftlett 在他的博客文章中写了一段很棒的段落

我讨厌在博客上发表评论，因为我的评论是通过类似 strip_tags() 之类的东西传递的，这实际上破坏了我想说的内容。它让我想起使用 IM 客户端时尝试识别表情符号并将其替换为图像，这通常会使响应难以解读。

另一个原因

其他人在另一个答案中也写了我喜欢的内容：

  $str = "10 appels is <than 12 apples";
  var_dump(strip_tags($str));

我得到的输出是：

string '10 appels is ' (length=13)

我个人不会使用除 HTMLPurifier

HTMLPurifier

HTMLPurifier

在此处尝试演示：http://htmlpurifier.org/demo.php

看看这个类似问题

Answer 2

使用strip_tags()。 http://php.net/manual/en/function.strip-tags.php

字符串 strip_tags ( 字符串 $str [, 字符串 $allowable_tags ] )

第二个参数是允许的标签列表；只需列出 '' ，其余部分将被删除。

请注意，正如 deceze 提到的：

此函数不会修改您所使用的标签上的任何属性
允许使用allowable_tags，包括样式和onmouseover
恶作剧的用户在发布文本时可能会滥用的属性
将向其他用户显示。

因此它本身并不能提供针对恶意代码的全面保护！