Я хочу разместить на своем сайте HTML-редактор, но не хочу подвергаться атакам xss или другим видам атак, связанных с разрешением пользовательского HTML.
Это очень похоже на то, что делает Stack Overflow. Как здесь проверяется / дезинфицируется HTML, чтобы информация о стилях оставалась, а другие, более опасные вещи (например, javascript, iframe и т. Д.) Не попадали?
Есть ли библиотеки (желательно на PHP), которые это уже делают?
В PHP есть функция strip_tags, которая удаляет теги HTML и PHP из строки и позволяет указать определенные допустимые теги. Но, как заявляет @webarto, существуют библиотеки, которые справляются с этим лучше.
> и <, но сделать их видимыми в результате?
- person Roko C. Buljan; 24.03.2012
htmlspecialchars или _2 _...
- person Dejan Marjanović; 24.03.2012
strip_tags сам по себе не отвечает на вопрос правильно, так как он не изменяет атрибуты тега. Атрибуты тега все еще можно злоупотреблять, если вы используете только этот метод. Убедитесь, что любое решение, которое вы в конечном итоге используете, дезинфицирует также такие атрибуты, как onmouseover, href, onclick ... Лучшая дезинфекция - это не дезинфекция, если она соответствует вашим потребностям, подумайте об использовании простой альтернативы, такой как уценка с включенным безопасным режимом.
- person eymen; 11.12.2015
Вы можете использовать
strip_tags($yourData,"<a><p><div><i>") // more tags you want to keep;
Если вы тоже используете SQL, используйте
mysql_real_escape_string($data);
Это действительно все, что вам нужно, чтобы избежать укола. Помните, что при использовании настоящего выхода mySQL вам необходимо использовать косые черты, чтобы удалить их, когда вы выводите их эхом.
Вот документы для полосных тегов и документы для mysql escape.
Если вы хотите разрешить некоторый (X) HTML и ограничить только те теги, которые рассматриваются как небезопасные, вы можете использовать что-то вроде KSES. Wordpress использует подобное решение.
http://sourceforge.net/projects/kses/
В дополнении к сообщению Whymarrh предлагается разместить код в подпапке вашего сайта и автоматически изменять любой код, содержащий «..», или «http: //», или любые команды mysql.
