使用 htmlpurifier 将所有内容清理为文本

Question

我对 xss 保护还很陌生，这让我开始思考它是否安全。

如果我使用例如：

$lol = "javascript:alert('asd')";

$config = HTMLPurifier_Config::createDefault();
$purifier = new HTMLPurifier($config);
$config->set('HTML.Allowed', '');
$cleaned = $purifier->purify($lol);


<a href="<?php echo $cleaned; ?>"><?php echo $cleaned; ?></a>

上面的代码仍然会输出一个警报功能，例如，如果我按下一个链接，就会显示一个弹出窗口。

考虑到 XSS 是否安全？

我也使用$config->set('HTML.Allowed', '');，因为我只想输出文本而不输出任何 HTML。

为了安全起见，我是否应该添加一个正则表达式来检查;: 例如[^:;]。

值得指出的是，用户提交给我网站的所有数据只会在<p>标签和<h1>标签之间输出。

提前致谢，

// XSS 新手。

Answer 1

不要使您的清理工作过于复杂，只需执行$cleaned = htmlentities($lol); 这会将所有可能的 html 标记转换为相应的 html 实体作为字符串。

你说my site will only be outputted between <p> tags and <h1> tags，所以在这种情况下，一个 htmlentities 将出现，因为用户将无法使用 html，因此他们无法创建链接。

但是在这个测试用例中，即使在删除了 html 标记（例如，$lol 中没有 html 标记）之后，您仍将 $cleaned 字符串回显到 a href 中，因此有效的 javascript 是仍然输出。

XSS 通常依赖于脚本标签，例如<script>alert('asd');</script> 在这种情况下没有。

如果您仍然希望能够回显到 ahref，我可以建议从前面去掉 javascript: 这个词吗？或者也许将所有非字母数字字符转换为 html 实体。