防止XSS，但仍允許PHP中的一些HTML

Question

我想阻止XSS攻擊，但我仍然希望允許HTML標記，例如<b><u><i><img><a>和YouTube視頻播放器。我不想爲XSS攻擊而開放。我正在使用PHP。

Answer 1

我推薦使用htmlpurifier，它是過濾html最安全的工具。我建議你也讀這個great analysis of HTML sanistisation tools for php。

Answer 2

strip_tags($string, "<b> <u> <i> <img> <a>"); 

這不會阻止某人使用onmouseover等，雖然 - 你必須去掉Javascript。