如何验证嵌入标签？

Question

我允许用户嵌入来自youtube、vimeo、scribd、flickr、slideshare 等的内容，因此我允许他们将嵌入代码粘贴到文本框中。

我很难弄清楚如何：

(a) 验证其确实是格式正确的嵌入代码，并且
(b) 用户是否试图获取我的恶意代码 要显示的系统。

这是一个php网站。

Answer 1

我们将实施一个系统，我们要求用户指定直接 URL，然后我们会从该页面获取适当的数据。

Answer 2

我过去使用过htmlpurifier。还有一些其他的，但这个对我来说效果最好。您可以将所有允许的代码结构列入白名单并使 html 代码标准兼容。这是抵御 XXS 攻击的良好第一道防线。

该库非常大，如果您没有正确安装它可能会减慢您的代码速度，因此请仔细阅读安装文档。