kses v.s. strip_tags

Question

kses（http://sourceforge.net/projects/kses/）或者只是strip_tags，要用哪個？

Answer 1

取決於您的使用情況。你可以確定strip_tags()是很多更快，因爲它是一個內置函數寫在c中。另一方面kses似乎提供更多功能。因此，如果您不需要比strip_tags()更多的功能，只需使用內置函數即可。

Answer 2

我快速瀏覽了kses代碼。我注意到：

• 它依賴於屬性值不存在的「>」字符（這是合法的）

• 其「壞的URL協議」處理程序不會過濾掉的東西它可以沒有解析，就像畸形的字符引用和控制字符一樣。

我不認爲我真的相信這一點。

如果您必須允許（並過濾）HTML，則可以嘗試htmlpurifier。我也無法擔保其安全性，但它被廣泛使用。

使用除完整HTML解析器以外的任何其他HTML篩選器是硬。如果您可以提供允許用戶輸入HTML的任何替代方法（例如，使用簡化的文本標記語言），請改爲執行此操作。