DOM 和 remove tag 对抗 xss 攻击的方式有优化吗？

Question

我的一个朋友贴了一段关于如何使用 DOM 防止 xss 攻击的代码。

你觉得这段代码怎么样？ 我们可以优化它吗？

<?php
    function parseDoc(DOMDocument $codeHtml){
      $forbiddenTag=array('script');
      $forbiddenAttr=array('onmouseover','onmouseup','onclick');
      foreach($forbiddenTag as $tag){
        $liste=$codeHtml->getElementsByTagName($tag);
        foreach($liste as $element){
          $codeHtml->removeChild($element);
        }
      }
      stripAttr($codeHtml,$forbiddenAttr);
    }

    function stripAttr(DOMNode $root, array $forbiddenAttr){
     foreach($rootl->childNodes as $child){
        foreach($forbiddenAttr as $attr){
          if($child->hasAttribute($attr)) $child->removeAttribute($attr);

        }.
        if($child->hasChildNodes())strippAttr($child,$forbiddenAttr);
      }
    }

Answer 1

这不是对抗 XSS 的正确方法。

您使用的黑名单将永远无法捕捉到包含脚本的所有方式。例如，您没有捕获 onload 属性或 javascript: 链接。相反，始终使用 DOM 方法来构造文本节点和属性值，默认情况下您将是安全的。如果您想让用户允许格式化文本，请使用允许的元素、属性和属性值的白名单。