laravel - 如何保护所见即所得的编辑器免受 XSS 攻击？

Question

我正在使用 Summernote 所见即所得编辑器(如下所示)，发现它使用 HTML 标签来格式化文本。

<textarea name="body" id="editor" value="{{old('body')}}" rows="10" required></textarea>

如何保护我的应用程序免受 XSS 攻击？我将输入存储为纯文本，并使用输出:{!! $body !!} .

是否可以过滤 textarea对于易受攻击的输入，例如:<script>alert("boom")</script>

Answer 1

默认情况下，Laravel 不提供任何机制来从给定输入中删除某些标签，因此您需要使用第三方包，如 Purifier。 .

安装净化器

如下所示，可以使用 Composer 简单地安装 Purifier .

composer require mews/purifier

配置

要自定义 Purifier 的默认设置，请发布配置文件 ( config/purifier.php )。

php artisan vendor:publish --provider="Mews\Purifier\PurifierServiceProvider"

现在，导航到 config/purifier.php并调整 HTML.Allowed根据需要输入。请注意，所有未在此条目中列出的标签都将被 clean() 删除。方法。

可以找到配置选项的详尽引用 here .

---

例子

clean("<p>Good</p> <script>alert('Bad')</script>")

Output: <p>Good</p>