php 过滤所有html

基础概念

PHP中的HTML过滤主要是指对用户输入的数据进行处理，以防止跨站脚本攻击（XSS）。XSS攻击是一种常见的网络攻击方式，攻击者通过在网页中插入恶意脚本，当用户浏览该页面时，这些脚本会在用户的浏览器上执行，从而窃取用户信息或者进行其他恶意操作。

类型

白名单过滤：只允许特定的HTML标签和属性通过。
黑名单过滤：禁止特定的HTML标签和属性。
转义输出：将特殊字符转换为HTML实体，防止被浏览器解析为代码。

应用场景

用户评论系统
社交媒体平台
在线论坛
内容管理系统（CMS）

示例代码

以下是一个使用PHP内置函数htmlspecialchars进行HTML过滤的示例：

<?php
// 用户输入的数据
$userInput = "<script>alert('XSS Attack');</script>";

// 过滤HTML
$filteredInput = htmlspecialchars($userInput, ENT_QUOTES | ENT_HTML5, 'UTF-8');

echo $filteredInput; // 输出: &lt;script&gt;alert(&#039;XSS Attack&#039;);&lt;/script&gt;
?>

遇到的问题及解决方法

问题：为什么过滤HTML后，某些字符显示不正确？

原因：可能是由于字符编码不一致导致的。例如，如果源数据是GBK编码，而过滤时使用了UTF-8编码，就会出现乱码。

解决方法：确保所有数据的编码一致，通常推荐使用UTF-8编码。

<?php
// 确保源数据编码为UTF-8
$userInput = mb_convert_encoding($userInput, 'UTF-8', 'GBK');

// 过滤HTML
$filteredInput = htmlspecialchars($userInput, ENT_QUOTES | ENT_HTML5, 'UTF-8');

echo $filteredInput;
?>

问题：如何允许特定的HTML标签和属性？

解决方法：可以使用第三方库如HTML Purifier来进行更精细的控制。

<?php
require_once 'htmlpurifier/library/HTMLPurifier.auto.php';

$config = HTMLPurifier_Config::createDefault();
$config->set('HTML.Allowed', 'p,strong,em,a[href]');

$purifier = new HTMLPurifier($config);
$filteredInput = $purifier->purify($userInput);

echo $filteredInput;
?>