Разрешить отправленный пользователем HTML в PHP

HTML Purifier – это библиотека HTML-фильтров, соответствующая стандартам, написанная на PHP. HTML Purifier не только удалит весь вредоносный код (более известный как XSS) с помощью тщательно проверенного, безопасного, но разрешительного белого списка, но также обеспечит соответствие ваших документов стандартам, что достижимо только при всестороннем знании спецификаций W3C.

Может быть, безопаснее использовать DOMDocument, чтобы правильно проанализировать его, удалить запрещенные теги с помощью removeChild(), а затем получить результат. Не всегда безопасно фильтровать данные с помощью регулярных выражений, особенно если они становятся настолько сложными. Хакеры могут найти способ обмануть ваши фильтры, форумы и социальные сети прекрасно об этом знают.

Например, браузеры игнорируют пробелы после ‹. Ваш фильтр регулярных выражений ‹скрипт, но если я использую ‹ скрипт... большая НЕУДАЧА!

HTML Purifier — лучший анализатор/очиститель HTML.

Для тех из вас, кто предлагает просто использовать strip_tags... имейте в виду: strip_tags НЕ удалит атрибуты тегов и неработающие теги. тоже испортит.

Со страницы руководства:

Предупреждение Поскольку strip_tags() на самом деле не проверяет HTML, частичные или неработающие теги могут привести к удалению большего количества текста/данных, чем ожидалось.

Предупреждение Эта функция не изменяет какие-либо атрибуты тегов, которые вы разрешаете использовать с помощью allowable_tags , включая атрибуты style и onmouseover, которыми недобросовестный пользователь может злоупотреблять при публикации текста, который будет показан другим пользователям.

Вы НЕ МОЖЕТЕ полагаться только на это одно решение.

Вы можете просто использовать функцию strip_tags()

Поскольку функция определяется как

string strip_tags  ( string $str  [, string $allowable_tags  ] )

Ты можешь сделать это:

$html = $_POST['content'];
$html = strip_tags($html, '<b><a><i><u><span>');

Но обратите внимание, что с помощью strip_tags вы не сможете отфильтровать атрибуты. например

<a href="javascript:alert('haha caught cha!');">link</a>

Попробуйте эту функцию «getCleanHTML» ниже, извлеките текстовое содержимое из элементов, за исключением элементов с именем тега в белом списке. Этот код чистый и простой для понимания и отладки.

<?php

$TagWhiteList = array(
    'b', 'i', 'u', 'strong', 'em', 'a', 'img'
);

function getHTMLCode($Node) {
    $Document = new DOMDocument();    
    $Document->appendChild($Document->importNode($Node, true));
    return $Document->saveHTML();
}
function getCleanHTML($Node, $Text = "") {
    global $TagWhiteList;

    $TextName = $Node->tagName;
    if ($TextName == null)
        return $Text.$Node->textContent;

    if (in_array($TextName, $TagWhiteList)) 
        return $Text.getHTMLCode($Node);

    $Node = $Node->firstChild;
    if ($Node != null)
        $Text = getCleanHTML($Node, $Text);

    while($Node->nextSibling != null) {
        $Text = getCleanHTML($Node->nextSibling, $Text);
        $Node = $Node->nextSibling;
    }
    return $Text;
}

$Doc = new DOMDocument();
$Doc->loadHTMLFile("Test.html");
echo getCleanHTML($Doc->documentElement)."\n";

?>

Надеюсь это поможет.

На самом деле это довольно простая цель - вам просто нужно проверить все, что НЕ является некоторыми тегами из списка тегов, внесенных в белый список, и удалить их из источника. Это можно сделать довольно легко с помощью одного регулярного выражения.

function sanitize($html) {
  $whitelist = array(
    'b', 'i', 'u', 'strong', 'em', 'a'
  );

  return preg_replace("/<(^".implode("|", $whitelist).")(.*)>(.*)<\/(^".implode("|", $whitelist).")>/", "", $html);
}

Я не проверял это, и, вероятно, где-то там есть ошибка, но вы понимаете, как это работает. Вы также можете рассмотреть возможность использования языка форматирования, такого как Textile или Markdown.

Джейми