XSS 预防，Tidy 还是 Purifier？

Question

你好，

我正在尝试使用 CKEditor(一个 javascript WYSIWYG 编辑器)防止输入字段中的 XSS 和不正确的 html。

我应该如何在服务器端过滤这些数据？我比较的两个选项是 PHP Tidy 和 HTML Purifier。我对速度、安全性和有效嵌套感兴趣。

编辑:

根据 HTML Purifier 的说法，Tidy 不会阻止 XSS。所以，让我指定我将首先通过用户输入
strip_tags($input,'<img><a><li><ol><ul><b><br>');在传递给 Tidy 之前

Answer 1

HTML Purifier 限制输入超出范围 strip_tags能够。 strip_tags不会从您允许的标签的属性中剥离 JavaScript。我绝对推荐使用 HTML Purifier。 HTML Purifier 并不快，但添加/编辑执行的频率通常低于 View ，因此性能问题不大。