這是一個很好的方式來刪除腳本，Onmouseover，onerror和onload用PHP

Question

我正在這樣做。它似乎工作，但它是最好的方式？像人們仍然可以發佈XSS代碼或應該抓住這一切嗎？

$pattern[0] = '/script/'; 
$pattern[1] = '/onmouseover/'; 
$pattern[2] = '/onerror/'; 
$pattern[3] = '/onload/'; 
$replacement[0] = 'scr<b></b>ipt'; 
$replacement[1] = 'onmouse<b></b>over'; 
$replacement[2] = 'on<b></b>error'; 
$replacement[2] = 'on<b></b>load'; 

Answer 1

消毒用戶生成的HTML內容，我寧願依靠現有的，積極維護圖書館的服務，如HTML Purifier：

HTML淨化器是寫在一個標準的HTML過濾庫PHP。 HTML Purifier不僅會刪除所有惡意代碼（更好的稱爲XSS），而且還會確保您的文檔符合標準，只有通過全面的W3C規範知識才能實現。