HtmlPurifier - продолжает удалять мои таблицы - какова правильная конфигурация?

Проблема, с которой вы столкнулись, заключается в том, что tbody не может быть пустым по стандарту HTML («Каждая группа строк должна содержать хотя бы одну строку») (и большая часть безопасности HTML Purifier проистекает из стратегического требования, чтобы HTML соответствовал стандартам), комментарий не считается содержимым и поэтому удаляется. При этом "живой" стандарт HTML не требует this ("Zero or more tr ..."), так что возиться с ним безопасно.

В любом случае вы можете увидеть требования HTML Purifier в файле library/HTMLPurifier/HTMLModule/Tables.php:

$this->addElement('tbody', false, 'Required: tr', 'Common', $cell_align);

Если вы хотите изменить способ обработки HTML Purifier tbody элементов, ознакомьтесь с документацией Customize. . Ваше решение будет выглядеть примерно так (хотя этот пример не кэширует определение HTML, вы можете возиться со своим, пока это не произойдет с вашим):

require_once (__DIR__ . '/library/HTMLPurifier.auto.php');

$dirty_html = '<table>
<thead>
    <th>fieldA</th>
    <th>fieldB</th>
    <th>fieldC</th>
    <th>fieldD</th>
</thead>
<tbody>
    <!--[[[order_list]]]-->
</tbody>
</table>';

$config = HTMLPurifier_Config::createDefault();

$def = $config->getHtmlDefinition(true);

$element = $def->addElement(
    'tbody',
    false,
    'Flow', // <-- here is the change - we're not requiring 'tr' any more
    'Common',
    [
        'align' => 'Enum#left,center,right,justify,char',
        'charoff' => 'Length',
        'valign' => 'Enum#top,middle,bottom,baseline',
    ]
);

$purifier = new HTMLPurifier($config);
$clean_html = $purifier->purify($dirty_html);

Это выплевывает (хотя я удалил пробелы):

<table><thead></thead><tbody></tbody></table>

Если результат по-прежнему кажется вам неправильным, потому что thead был очищен, знайте, что thead был очищен, потому что в нем есть "случайные" th теги - они не упакованы tr. Этот должен соответствовать стандартам даже "живым" стандартный (поскольку он разрешает только tr детей), но вы, конечно, также можете изменить это поведение, настроив очиститель HTML, если хотите. Это может иметь непредвиденные последствия для рендеринга в браузере, но будьте осторожны!

Тем не менее, одно это по-прежнему убивает комментарий <!-- [[[order_list]]] -->, поскольку HTML Purifier по умолчанию запрещает все комментарии по соображениям безопасности (исторически было довольно много эксплойтов браузера, вытесняющих HTML-комментарии, хотя в последние годы не так много).

Чтобы исправить это, вы можете внести в белый список конкретный комментарий, который хотите сохранить, следующим образом:

...
$config = HTMLPurifier_Config::createDefault();
$config->set('HTML.AllowedComments', ['[[[order_list]]]']);

$def = $config->getHtmlDefinition(true);
...

Это выплюнет (хотя я снова удалил пробелы):

<table><thead></thead><tbody><!--[[[order_list]]]--></tbody></table>