Как я могу безопасно выводить содержимое, содержащее HTML-теги?

Question

У меня есть система блога, и пользователь должен вводить содержимое в текстовую область html, включая теги html, такие как <p>. Это сохраняется в базе данных. Если этот вход затем эхом передается на веб-страницу с использованием php, как я могу избежать вывода для защиты от XSS, но сохранить значение html-тегов, чтобы сообщение в блоге было отформатировано правильно? Если я использую htmlentities($blog_content), он буквально печатает теги html на странице, поэтому вы видите <p>hello this is a blog</p>.

Возможно ли это?

Answer 1

Что вы хотите, это выборочная фильтрация или дезинфекция. Другими словами, вы хотите дать код HTML, но не другие, возможно, вредоносные теги. Это очень сложный бизнес, особенно потому, что синтаксис HTML очень сложный, и чрезмерно простые попытки санировки подвержены ошибкам, которые позволяют вставлять теги через искаженный HTML в любом случае.

Если возможно, вы должны держаться подальше от того, чтобы пользователи могли отправлять HTML-файлы вообще. Используйте специальный язык разметки, такой как разметка Wiki, Markdown, BBcodes или аналогичный.

Если вы уверены, что делаете, вы должны выбрать хорошую, хорошо протестированную, надежную библиотеку, которая обеспечивает такие функции санитизации. HTML Purifier - это единственное, что я знаю, которое соответствует этому описанию.

Answer 2

Ну, вы можете просто раздеться <script> теги, используя strip_tags()это не пуленепробиваемый решение, но вы можете улучшить безопасность, просто позволяя некоторые теги (в основном полужирный, курсив, ссылки и несколько больше) ...

Затем вы можете легко распечатать свой контент и избежать выполнения javascript.

$text = '<p>Test paragraph.</p><!-- Comment --> <a href="#fragment">Other text</a>'; 
echo strip_tags($text); 
echo "\n"; 

// Allow <p>, <a> and some formatting 
echo strip_tags($text, '<p><a><i><em><b><strong>'); 

Answer 3

Вы можете использовать strip_tags() и разрешить некоторые HTML-элементы:

echo strip_tags($text, '<p><a>'); 

Однако, это все еще опасно, так как кто-то может вставить код как

<p onclick="doSomething();">...</p> 

Так было бы лучше, если вы должны использовать способ DOMDocumentloadHtml() для загрузки ваших данных из базы данных. Затем вам нужно пройти через узлы и проверить, есть ли какие-либо атрибуты или узлы, которые вы, возможно, должны удалить, например. используя DOMNode::hasAttributes и DOMNode::hasChildNodes.