防止XSS，但仍允许PHP中的一些HTML

Question

我想阻止XSS攻击，但我仍然希望允许HTML标记，例如<b><u><i><img><a>和YouTube视频播放器。我不想为XSS攻击而开放。我正在使用PHP。

Answer 1

我推荐使用htmlpurifier，它是过滤html最安全的工具。我建议你也读这个great analysis of HTML sanistisation tools for php。

Answer 2

strip_tags($string, "<b> <u> <i> <img> <a>"); 

这不会阻止某人使用onmouseover等，虽然 - 你必须去掉Javascript。