php - HTML Purifier 过滤器入站或出站或两者兼而有之？

Question

我刚开始使用 HTML Purifier http://htmlpurifier.org从所见即所得编辑器中过滤内容。内容将显示回用户或同一组中的其他用户。系统上还有其他组，数据完整性非常重要。

我正在使用 PHP，内容存储在 MySQL 数据库中。

HTML Purifier 使用了大量的处理器能力，所以我只想将它用于入站内容并直接显示来自数据库的出站内容，而不使用任何过滤器。听起来很简单，它已经过过滤所以应该是安全的，但我不能 100% 确定它是否安全？

入站允许列表'p[样式],strong,em,u,h1,h2,h3,h4,h5,h6,li,ol,ul,span[样式],div[样式],br,ins,del'

编辑:我发现该网站建议在 http://htmlpurifier.org/docs/enduser-slow.html 上执行此操作但由于重要性很高，我想在这里提出一些意见。

Answer 1

在将您的输入发送到数据库时对其进行清理，否则您将遇到每秒几页浏览量的大麻烦，因为这是 CPU 密集型步骤。

但是，您必须确保数据库中的每一行都经过清理，否则有一天您会将自己暴露在 XSS 之下(检查每个编辑或添加条目的请求，并考虑数据库中的现有行)。

小提示:如果您能负担得起空间，请存储经过 sanitizer 和未经过 sanitizer 的输入。如果有一天，您必须更改参数或 HTMLPurifier 有一个主要的 0-day，您将能够更新整个表。但是，如果你有一天这样做，要非常小心效果;)

编辑:通过允许样式来确定您在做什么，或者只允许少数 CSS 样式...