没有 htmlspecialchars 的 HTMLPurifier

Question

我正在使用 HTMLPurifier 进行简单的Tinymce WYSIWYG。如果我不使用htmlspecialchars，它会向XSS Attack 开放吗？这就是我正在做的事情

$detail = $purifier->purify($detail);

为textarea 净化数据。如果我使用htmlspecialchars，它也会删除所有基本标签，这对于WYSIWYG 编辑器来说不是用户友好的。但问题是，这也允许<script> tag .

如果我将 conf setting 更改为

$config->set('ExtractStyleBlocks.1', true);

它不允许< 和> 用于<script> tag。转换< 和> 仅用于<script>。但它显示<p>This is paragraph</p> ，<strong>This text is bold</strong> 等等。它应该'不向用户显示<p> and other simple tags，而只向用户显示文本。

我怎样才能摆脱这个问题。

请帮忙。感谢您的宝贵时间。

编辑

这是我的 HTMLPurifier 初始化

$config = HTMLPurifier_Config::createDefault();
//$config->set('ExtractStyleBlocks', true);
$config->set('HTML.ForbiddenElements', array('script','style','applet'));
$purifier = new HTMLPurifier($config);

从数据库中获取数据

while(mysqli_stmt_fetch($stmt1)){
  $id=htmlspecialchars($id);
  $title=htmlspecialchars($title);
  $detail = $purifier->purify($detail);

 $posts.="<div id='date_news'><div id='news_holder$id' class='news_holder'><h3 id='show_title'>".htmlspecialchars($title)."</h3>".$detail."</div>";

$detail 的 HTML

在数据库中

<p><strong>Alu Vazi</strong></p>
<p>I love alu vazi with&lt;script&gt;alert("XSS")&lt;/script&gt;</p>

用户界面

阿鲁瓦兹

我爱alu vazi，<script>alert("XSS")</script>

Answer 1

好的，按照我的评论尝试将它添加到您的 HTML Purifier 配置中，它应该默认启用，但值得一试。

$config = HTMLPurifier_Config::createDefault();
$config->set('HTML.ForbiddenElements', array('script','style','applet'));
$purifier = new HTMLPurifier($config);

编辑

<p>I love alu vazi with&lt;script&gt;alert("XSS")&lt;/script&gt;</p>

您已经在此处转义了 <script> 标记，因此 HTML Purifier 无需解析任何内容。结果它将在页面上输出，但您已经有效地中和了 XSS 尝试。

在您的代码中，某些内容在保存到数据库之前已经转义了 HTML 字符。