我有一个博客系统，用户必须在一个html文本区域输入内容，包括<p>等html标签。这存储在数据库中。如果此输入随后使用 php 回显到网页，我如何转义输出以防止 XSS，但保留 html 标签的含义，以便博客文章的格式正确？如果我使用htmlentities($blog_content)，它会将html标签打印到页面上，所以你会看到<p>hello this is a blog</p>。
这可能吗？
【问题讨论】：
您想要的是选择性过滤或清理。换句话说，您希望允许 some HTML，但不允许其他可能是恶意的标签。这是一项非常棘手的工作，尤其是因为 HTML 语法非常复杂，而且过于简单的清理尝试容易出错，从而允许通过格式错误的 HTML 注入标签。
如果可能，您应该远离让您的用户提交 HTML。使用特殊的标记语言，如 Wiki 标记、Markdown、BBcodes 或类似语言。
如果你确定你在做什么，你应该选择一个好的、经过良好测试的、健壮的库来提供这样的清理功能。 HTML Purifier 是我所知道的唯一符合这种描述的人。
【讨论】：
好吧，你可以去掉<script>标签，使用strip_tags()这不是一个防弹的解决方案，但你可以通过允许一些标签（基本上是粗体、斜体、链接）来提高安全性还有一些）...
然后您可以轻松打印您的内容并避免执行 javascript。
$text = '<p>Test paragraph.</p><!-- Comment --> <a href="#fragment">Other text</a>';
echo strip_tags($text);
echo "\n";
// Allow <p>, <a> and some formatting
echo strip_tags($text, '<p><a><i><em><b><strong>');
【讨论】：
strip_tags 是不够的，因为它不会从元素中删除属性。考虑<a onmouseover="..."></a>