Очистка строки HTML, сохраняющей некоторые теги и атрибуты

Question

После того, как я выполнил свои функции санитаризации (в соответствии с запрошенными особенностями), мой босс решил изменить принятый ввод. Теперь он хочет сохранить определенный тег и его атрибуты. Я предложил реализовать BBCode-подобный язык, который безопаснее imho, но он не хочет, потому что это будет много работать.

На этот раз я хотел бы, чтобы это было просто, поэтому я не убью его в следующий раз, когда он попросит меня снова изменить эту вещь. И я знаю, что он это сделает.

Достаточно ли сначала использовать strip_tags с параметром метки для сохранения, а затем htmlentities?

Answer 1

strip_tags не обязательно приводит к безопасному содержанию. strip_tags, за которым следует htmlentities, будет безопасным, поскольку все, что закодировано в HTML, безопасно, но это не имеет никакого смысла.

Либо пользователь ввода обычного текста, в этом случае он должен быть выведен с помощью htmlspecialchars (в предпочтении к htmlentities), или они ввода HTML-разметку, в этом случае вам нужно разобрать его правильно, фиксируя сломанную разметку и удаление элементов/атрибутов, которые не находятся в безопасном белом списке.

Если это то, что вы хотите, используйте существующую библиотеку для этого (например, htmlpurifier). Потому что это не тривиальная задача, и если вы ошибетесь, вы предоставили себе дыры в безопасности XSS.

Answer 2

Вы можете сохранить определенные теги, используя strip_tags с этим синтаксисом: strip_tags($text, '<p><a>');

Это фрагмент лишит все теги кроме p и a. Атрибуты хранятся для тегов, которые вы разрешили (p и a в приведенном выше примере).

Однако это не означает, что атрибуты являются безопасными. Требует ли он определенных атрибутов или хочет ли он сохранить их на разрешенных тегах? В первом случае вам нужно проанализировать каждый тег и удалить нужные, дезинфицируя значения. Чтобы сохранить все атрибуты разрешенных тегов, вам все равно нужно их дезинфицировать. Я бы рекомендовал запустить htmlentities на значения атрибутов для их дезинфекции (для отображения, я бы предположил).