javascript - HTML Purifier 用于清理事件属性

Question

我正在努力解决一些存储的 XSS 漏洞，并且我正在使用 HTMLPurifier。我在页面上有一个输入框，如果我输入“” onclick =“alert(1);”，代码将保存到数据库并在客户端上执行。即使在通过净化器运行输入和输出后也会发生这种情况。似乎 HTMLpurifier 仅在包含在 html 标记中时删除这些 attr。我想知道是否有一些净化器配置可以仅删除事件 attr 或有关如何清理这些属性的任何其他建议。

Answer 1

HTML Purifier 纯粹用于在页面上用作 HTML 的内容。它不适合验证内容，例如，将进入 HTML 元素的属性。

您可以使用 HTML Purifier 的一些内部 API 来验证本例的内容。但是，对于注释中引用的示例，您只需要 htmlspecialchars 即可完成正确的操作。验证器的正确选择取决于您将内容放入的属性。