什麼是HTMLPurifier？

Question

我如何以及如何使用它？這真的是我需要防止XSS攻擊的一切嗎？有人可以解釋htmlspecialchars，mysql_real_escape_string，htmlpurifier和其他形式的注入防禦之間的區別。 HTMLPurifier是否抵禦JS攻擊？

Answer 1

在一個典型的用例中，你不要想要允許任何HTML。在這種情況下，你可以去除標記等，但只是這樣做不會保護你免受XSS（或SQL注入等）的侵害。

在不需要HTML的情況下，您可以使用htmlspecialchars等來轉義輸出以防止XSS。在這種情況下，您還將使用SQL轉義來防止SQL注入。

簡單地刪除所有標記並始終使用htmlspecialchars通常更容易。

當你的絕對要讓允許使用HTML時，這就是HTMLPurifier的意思。