用PHP保护简单的所见即所得编辑器的最佳方法是什么？

Question

7

我在我的网站中添加了一个简单的所见即所得编辑器，它只允许使用B / I / U标签 - 不支持其他标签。目前，我将所有内容存储为HTML格式在数据库中，但是很容易添加<a onclick='...'>或其他恶意代码。

在PHP中，最好的方式是如何安全地解析此输入？如何将、等作为白名单实现，并对其他所有内容进行编码？

- Lupo

2个回答

1

string strip_tags ( string $str [, string $allowable_tags ] )

第二个参数是允许的标签列表；只需列出''，其余标签将被删除。

请注意，正如deceze所提到的：

此函数不会修改您使用allowable_tags允许的标记上的任何属性，包括一个恶意用户可能在发布将显示给其他用户的文本时滥用的样式和onmouseover属性。

因此，它本身并不能完全保护免受恶意代码的攻击！

- Rijk

4

此函数不会修改您允许使用allowable_tags的标签上的任何属性，包括样式和onmouseover属性。这些属性可能会被恶意用户滥用，当他们发布将显示给其他用户查看的文本时。 - deceze

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Layke · Accepted Answer

HTMLPurifier

我只是想提出这个问题，并可能会受到不可避免的抨击。我不会使用strip_tags来保护您的所见即所得表单...从未（除非您想惹恼用户）。

它不能保护您的表格，而且您可能会破坏用户的体验。

Chris Shiftlett在他的博客文章中写了一个很好的段落

我讨厌在我的评论经过像strip_tags()这样的东西时进行评论，这实际上损坏了我想要表达的内容。这让我想起使用IM客户端，尝试识别笑脸并用图像替换它们，常常使回复难以辨认。

另一个回答中的其他人也写了这个，我喜欢：

  $str = "10 appels is <than 12 apples";
  var_dump(strip_tags($str));

我得到的输出是：

string '10 appels is ' (length=13)

我个人不会使用除了HTMLPurifier之外的任何东西