xss - HTML Purifier - 更改默认允许的 HTML 标签配置

Question

我想允许一个 限量用户可以在我的论坛中使用的 HTML 标签白名单。所以我像这样配置了 HTML Purifier:

$config = HTMLPurifier_Config::createDefault();
$config->set('HTML.Allowed', 'p,a[href|rel|target|title],img[src],span[style],strong,em,ul,ol,li');
$purifier = new HTMLPurifier($config);

我想知道的是，HTML Purifier 的默认配置是否仍然适用，除了接受的 HTML 标签数量减少之外，还是我需要手动重新设置每个可能的配置参数？

此外，我是否应该以任何方式调整默认配置以确保安全？我对整个 XSS 保护不熟悉，对 HTML Purifier 不熟悉，并没有发现手册提供了很多“基本”技巧和提示。

Answer 1

HTML Purifier 在默认情况下是安全的，您通过更改 %HTML.Allowed 对其施加的任何限制都只能保证减少允许的标记集。退房 http://htmlpurifier.org/live/smoketests/printDefinition.php查看调整配置如何更改允许的标记集。