- Java 双重比较
- java - 比较器与 Apache BeanComparator
- Objective-C 完成 block 导致额外的方法调用?
- database - RESTful URI 是否应该公开数据库主键?
我正在寻找一个简单的 PHP 库来帮助过滤 PHP Markdown 输出中的 XSS 漏洞。 IE。 PHP Markdown 将解析如下内容:
[XSS Vulnerability](javascript:alert('xss'))
我一直在做一些阅读,我在这里找到的关于这个主题的最好的是 this问题。
虽然 HTML Purifier 看起来是最好的(几乎是唯一的)解决方案,但我想知道是否还有更通用的解决方案? HTML Purifier 似乎有点健壮,尤其是对于我的需求而言,配置起来也很麻烦,尽管看起来它在这样做之后会工作得很好。
有没有其他的东西可能不那么健壮和可配置但仍然做得很好?或者我应该深入研究并开始尝试根据我的需要配置 HTML 净化器?
为清楚起见而编辑:我不想偷工减料或类似的事情。 HTML Purifier 只是提供了很多细粒度的控制,对于一个简单的小项目来说,根本不需要太多的控制,尽管什么都不用也不是一种选择。当我要求一些更简单或不太健壮的东西时,这就是我的出发点。
还有最后一点,我不是在寻找使用htmlspecialchars()
、strip_tags()
或类似内容的建议.我已经通过以类似的方式对其进行清理来禁止在 PHP Markdown Extra 中嵌入 HTML。我正在寻找防止 PHP Markdown 输出中的 XSS 漏洞的方法。
谢谢。
最佳答案
除了 HTML Purifier,我从未听说过任何其他工具, 做到这一点——而 HTML Purifier 确实享有盛誉。
也许它“有点健壮”和“配置起来很痛苦”,是的;但它也可能是 PHP 中使用最多、测试最多的解决方案;;当您必须选择如此重要的组件时,这些都是重要的标准。
即使这意味着投入半天时间来正确配置它,如果我处于您的情况,我也可能会选择 HTML Purifier。
关于PHP Markdown XSS sanitizer ,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/16665669/
我目前使用以下代码在存储字符串之前对其进行清理: ERB::Util::h(string) 当字符串已经像这样清理后,我的问题就出现了: string = "Watching baseball `&a
我有几个版本的项目结帐和编译。如果我发现错误,我会比较版本以缩小问题范围。有时我会启用像 AddressSanitizer 这样的 sanitizer 。如果我重新使用一个可执行文件,我不记得它是否是
过去有人担心在某些环境中的生产中使用 ASAN:https://seclists.org/oss-sec/2016/q1/363 .评论来自 2016 年 - 今天的情况如何? 是否推荐使用 sani
过去有人担心在某些环境中的生产中使用 ASAN:https://seclists.org/oss-sec/2016/q1/363 .评论来自 2016 年 - 今天的情况如何? 是否推荐使用 sani
我正在使用 Google Caja HTML Sanitizer ( https://code.google.com/p/google-caja/wiki/JsHtmlSanitizer ),但它正在
我正在使用 goog.dom.safeHtmlToNode 动态更新包含内容的选项卡 由于较新版本的 google 闭包库删除了 dom 片段方法:goog.dom.htmlToDocumentFra
我正在使用 DOMPurify.sanitize()里面 dangerouslySetInnerHTML={{}}显示 innerHtml从数据库返回。对于最初的目的,我使用 getServersid
我不知道我需要做什么才能使这些选项不再被禁用。任何帮助,将不胜感激: 最佳答案 Thread Sanitizer 可用于以下准备条件: 关闭其他选项,例如 'Malloc stack' 需要64位模拟
我想知道是否有人使用过这个类并发现它可靠? http://www.phpclasses.org/package/3746-PHP-Remove-unsafe-tags-and-attributes-f
假设我复制了一些“恶意”输入,例如带有事件处理程序或其他 javascript 的 DOM 节点 如果我将其复制到我的剪贴板并将其粘贴到 contenteditable div 中,事件处理程序将被
这是我的一个表单(PHP+MySQL,textarea被TinyMCE取代)。它记录了带有段落、项目符号、标题和文本对齐方式(右对齐、左对齐、居中对齐和对齐)的描述。 提交后,记录显示为 Introd
我有以下代码片段,我在其中检查 soap 结果并将数据插入我的数据库。 Connection dbconn = null; Statement stmt1 = null; Statem
在以下示例中,我如何删除所有保留 html 内容的未知现有自定义标签: my header my Title my SubTitle 我想回去
我正在 Ubuntu 14.04 上使用带有 Clang 3.7.0 的 Memory Sanitizer。以下代码可以完美运行: #include int main() { double an
有哪些好的 PHP html(输入) sanitizer ? 最好是,如果内置了某些东西 - 我希望我们能做到这一点。 更新: 根据请求,通过评论,输入应该不允许 HTML(并且显然防止 XSS 和
我有以下数组,想知道验证和清理该数组以确保只允许整数的最佳方法是什么? if(is_array($_POST['taxonomy'])) { $term_ids = array_map('es
$sanitize 服务 tells me that All safe tokens (from a whitelist) are then serialized back to properly e
很抱歉,如果这是一个 super 简单的概念,但我发现很难获得正确的心态才能正确使用 clang 提供的 sanitizer 。 float foo(float f) { return (f / 0)
Clang有各种 sanitizer ,可以打开以在运行时发现问题。 但是,有些 sanitizer 我不能一起使用。这是为什么? clang++-3.9 -std=c++1z -g -fsaniti
一直在用fsanitize=address在编译 C 程序时,为了跟踪段错误大约一年了。我时不时地遇到一个奇怪的行为,如果编译没有我的程序会出现段错误 fsanitize=address但是当我用 f
我是一名优秀的程序员,十分优秀!