PHP Markdown XSS sanitizer

Question

我正在寻找一个简单的 PHP 库来帮助过滤 PHP Markdown 输出中的 XSS 漏洞。 IE。 PHP Markdown 将解析如下内容:

[XSS Vulnerability](javascript:alert('xss'))

我一直在做一些阅读，我在这里找到的关于这个主题的最好的是 this问题。

虽然 HTML Purifier 看起来是最好的(几乎是唯一的)解决方案，但我想知道是否还有更通用的解决方案？ HTML Purifier 似乎有点健壮，尤其是对于我的需求而言，配置起来也很麻烦，尽管看起来它在这样做之后会工作得很好。

有没有其他的东西可能不那么健壮和可配置但仍然做得很好？或者我应该深入研究并开始尝试根据我的需要配置 HTML 净化器？

为清楚起见而编辑:我不想偷工减料或类似的事情。 HTML Purifier 只是提供了很多细粒度的控制，对于一个简单的小项目来说，根本不需要太多的控制，尽管什么都不用也不是一种选择。当我要求一些更简单或不太健壮的东西时，这就是我的出发点。

还有最后一点，我不是在寻找使用htmlspecialchars()、strip_tags() 或类似内容的建议.我已经通过以类似的方式对其进行清理来禁止在 PHP Markdown Extra 中嵌入 HTML。我正在寻找防止 PHP Markdown 输出中的 XSS 漏洞的方法。

谢谢。

Answer 1

除了 HTML Purifier，我从未听说过任何其他工具, 做到这一点——而 HTML Purifier 确实享有盛誉。

也许它“有点健壮”和“配置起来很痛苦”，是的；但它也可能是 PHP 中使用最多、测试最多的解决方案；；当您必须选择如此重要的组件时，这些都是重要的标准。

即使这意味着投入半天时间来正确配置它，如果我处于您的情况，我也可能会选择 HTML Purifier。