允许HTML模板启用哪些HTMLPurifier设置？

Question

我正在建立一个网站，允许用户通过HTML模板建立自己的网站。我应该使用什么样的HTMLPurifier设置来阻止XSS攻击？

在我的模板系统中，我只允许它们编辑模板的特定部分（即不是整个HTML文件，只是它的一部分）。这不允许他们编辑外部标签，这是好的，但我不希望他们在上述特定部分使用JavaScript。

任何已经拥有这种HTMLPurifier设置的人？

Answer 1

听起来就像你想要一个白名单。这很好，因为这是HTML Purifier的工作原理。

你会想自己浏览标签和属性列表，并简单地决定要准许什么。

仅允许本质安全的元素，允许不能包含CSS或Javascript或者引用外部资源（如图像）的属性。老实说，你可以在形式/输入，iframes，脚本/无脚本，对象/嵌入，头脑中的任何东西以及xmp之外实际上允许所有的东西。其他的一切都是语义的或文体的，而且大多是无害的。