防止 XSS 但仍然允许 PHP 中的一些 HTML

【问题标题】：Preventing XSS but still allowing some HTML in PHP防止 XSS 但仍然允许 PHP 中的一些 HTML
【发布时间】：2015-07-12 07:42:40
【问题描述】：

我想阻止 XSS 攻击，但我仍然想允许 HTML 标签，如<b><u><i><img><a> 和 YouTube 视频播放器。我不想对 XSS 攻击开放。我正在使用 PHP。

【问题讨论】：

标签： php xss

【解决方案1】：

我推荐使用htmlpurifier，它是最安全的html过滤工具。

【讨论】：

【解决方案2】：

strip_tags($string, "<b> <u> <i> <img> <a>");

这不会阻止某人使用 onmouseover 等 - 你必须去掉 Javascript。

【讨论】：