htmlpurifier - 使用 HTMLpurifier，如何将几个属性添加到默认白名单，例如 'onclick'

Question

两个问题:

我一直在阅读文档和 SO 帖子.. 并且知道如何从长远来看(自己定义每个元素和属性)，但我只想将 2 或 3 个属性添加到默认白名单。 . 这样我就不必不断地查找和添加更多元素/属性，例如 HTML.AllowedElements 和/或 HTML.AllowedAttributes。

具体来说，现在(对于内部受信任的用户)我需要允许 javascript 属性(来自 tinymce 的输入)。问题 #1。)有没有一种方法可以只添加一个属性(HTMLpurifier 允许的)，而不会导致整个默认的允许元素/属性集被有效地清除(被明确覆盖的 ONLY用 HTML.AllowedElements 或 HTML.AllowedAttributes 编写？

对于我现在需要的东西(javascript 属性)，当我在这个线程中看到时我很兴奋:

Whitelist Forms in HTML Purifier Configuration

...Edward Z. Yang 说，“... [$config->set('HTML.Trusted', true);] 允许 JavaScript。”

...但即使设置了这个:$config->set('HTML.Trusted', true);，HTMLpurifier 4.4.0 仍在剥离，例如任何输入 onclick="dostuff();" 属性。为什么？问题 #2.) 是否有一种快速的方法可以仅将 javascript 属性添加到允许列表中？

Answer 1

1. 您将丢失 onclick，因为 HTML Purifier 不知道该属性，如果 HTML Purifier 在您打开 %HTML 时传递所有内容。相信您可能根本不使用 HTML Purifier。

2. HTML Purifier 具有针对这种情况的属性集合； “Common”可能是将它们插入的正确位置。

但是……为什么？ %HTML.Trusted 的真实名称应该是 %HTML.UnsafeMakeMyApplicationVulnerable