鏈接淨化

Question

我有內部文本鏈接：

$va="Some text http://www.stackoverflow.com?var=1&var2=2 more text" 

當這種淨化：

$config = HTMLPurifier_Config::createDefault(); 
$config->set('URI.MakeAbsolute', false); 
$config->set('HTML.SafeObject', true); 
$config->set('Output.FlashCompat', true); 
$config->set('URI.AllowedSchemes', 
     array (
        'http' => true, 
        'https' => true, 
        'mailto' => true 
       )); 
$def = $config->getHTMLDefinition(true); 
$def->addAttribute('a', 'target', 'Enum#_blank,_self,_target,_top'); 
$def->addAttribute('a', 'data-width', 'Text'); 
$def->addAttribute('a', 'data-height', 'Text'); 
$def->addAttribute('a', 'id', 'Text'); 
$def->addAttribute('a', 'name', 'Text'); 
$purifier = new HTMLPurifier($config); 
$va = $purifier->purify($va); 

淨化取代我怎樣才能防止這種情況的鏈接，<的性格&？

Answer 1

當我運行代碼，我得到了想要的結果：

<?php 
ini_set('display_errors', TRUE); 
error_reporting(E_ALL); 

include_once 'library/HTMLPurifier.auto.php'; 

$raw = 'Some text http://www.stackoverflow.com?var=1&var2=2 more text'; 

$config = HTMLPurifier_Config::createDefault(); 
$config->set('URI.MakeAbsolute', false); 
$config->set('HTML.SafeObject', true); 
$config->set('Output.FlashCompat', true); 
$config->set('URI.AllowedSchemes', 
     array (
        'http' => true, 
        'https' => true, 
        'mailto' => true 
       )); 
$def = $config->getHTMLDefinition(true); 
$def->addAttribute('a', 'target', 'Enum#_blank,_self,_target,_top'); 
$def->addAttribute('a', 'data-width', 'Text'); 
$def->addAttribute('a', 'data-height', 'Text'); 
$def->addAttribute('a', 'id', 'Text'); 
$def->addAttribute('a', 'name', 'Text'); 
$purifier = new HTMLPurifier($config); 

echo $purifier->purify($raw); 

我得到

Some text http://www.stackoverflow.com?var=1&var2=2 more text 

注意，符號已經正確轉義。它必須是代碼中其他地方的錯誤。

Answer 2

我沒有使用這個庫，但我很好奇你爲鏈接定義（$ def），並且從來沒有將它設置在淨化器上。

從我的角度考慮，將「<」字符列入白名單並不合適。如果配置正確，應該由淨化器處理。