php - 使用 PHP 或 javascript 或 PHP 框架验证 HTML 嵌入代码 (Zend)

Question

只是一个简单的问题..是否有任何好的做法来验证 HTML 嵌入代码？fyi，我现在正在使用 Zend Framework 和 prototype+scriptaculous ..如果有人能提供有关该环境的线索，那就太好了。

谢谢! ^^

Answer 1

如果您想让用户输入 HTML，然后将其显示在您的网站上，一个非常好的解决方案是 HTMLPurifier .

它接受任何“种类”的 HTML 代码作为输入，并返回有效的 HTML，允许您指定必须允许哪些标签和属性——所有其他的都将被删除。

这样，如果您的用户输入无效的 HTML，您仍然会得到有效的 HTML (输出时破坏布局的风险较小)，并且如果您只指定几个非-危险的标签和属性，这对安全性有很大帮助。

如果您想试用它而不必将其集成到您的应用程序中，可以使用 demo page可用，顺便说一句。

例如，如果我输入这样的内容:

<p>
this <b>is a<i>test</b></i>
with a not <em>closed tag
and a <a href="http://google.com" onclick="alert('bouh');">link</a>
and some <script type="text/javascript>alert('script');</script>
</p>

我得到的 HTML 为 output will be :

<p>
this <b>is a<i>test</i></b>
with a not <em>closed tag
and a <a href="http://google.com">link</a>
and some </em></p>

ie 标签没问题(关闭，顺序正确)，脚本标签已被删除，链接的 onclick 属性也已删除。