使用HTML Purifier解决XSS问题

在php里解决XSS最简单的方法是使用htmlspecialchars转义xml实体，但对于需要使用xml的时候就搏手无策了。之前一直使用一个叫RemoveXSS的函数，该函数过滤得比较严格，很多html特性都过滤了，而且有bug，不修改代码使用起来很不友好，修改了却无法应对灵活的XSS攻击。

HTML Purifier是基于php 5所编写的HTML过滤器，支持自定义过滤规则，还可以把不标准的HTML转换为标准的HTML，是WYSIWYG编辑器的福音。。

一、使用HTML Purifier的要求

• php 5+
• iconv
• bcmath
• tidy

二、基本用法
默认下，使用UTF-8编码，和XHTML 1.0 Transitional文档类型.

<?php
require_once 'library/HTMLPurifier.includes.php';

$dirty_html = <<<EOF
<h1>Hello
<script>alert("world");</script>
EOF;

$purifier = new HTMLPurifier();

$cleanHtml = $purifier->purify($dirty_html);

输出：

<h1>Hello
</h1>

• 过滤了XSS代码，过滤规则：http://htmlpurifier.org/live/smoketests/xssAttacks.php
• 自动填充了残缺的标签

三、使用配置
配置主要用于设置规则，使用比较简单

$config = HTMLPurifier_Config::createDefault();
// something....
$purifier = new HTMLPurifier($config);

详细的配置规则：http://htmlpurifier.org/live/configdoc/plain.html

四、属性相关规则
1.id规则
默认下，HTML Purifier是不允许使用id的，可以通过Attr.EnableID选项来控制，当允许使用id的时候，有点需要注意，id只允许全局一个，后面重复的都会被去掉。

$config->set('Attr.EnableID', true); // 允许使用id
$config->set('Attr.IDPrefix', 'test_'); // 给所有id加上前缀test_
$config->set('Attr.IDBlacklist', array( // 设置黑名单，会过滤掉设置的id，如果设置了id前缀，要把前缀也加上
    'test_black_list'
));
$config->set('Attr.IDBlacklistRegexp', '/list_\d+/'); // 黑名单，使用正则匹配

输入：

<a id="test_by_willko" href="aa">adf</a>
<a id="black_list" href="aa">adf</a>
<a id="black_list_2" href="aa">adf</a>

输出：

<a id="test_by_willko" href="aa">adf</a>
<a href="aa">adf</a>
<a href="aa">adf</a>

2.class规则
默认下，是允许所有的class。属性Attr.AllowedClasses用于设置允许的class名，没被设置的class将被拒绝使用。而Attr.ForbiddenClasses则用于设置拒绝使用的class名。

$config->set('Attr.AllowedClasses', array( // 设置允许使用的class名
	'test_by_willko'
));
$config->set('Attr.ForbiddenClasses', array( // 设置拒绝使用的class名
	'ignore'
));

输入：

<p class="test_by_willko">12345</p>
<p class="ignore">78900</p>

输出：

<p class="test_by_willko">12345</p>
<p>78900</p>

四、HTML相关规则
最近，身体不适，待续...

参考资料：
http://htmlpurifier.org/live/INSTALL
http://htmlpurifier.org/docs

评论

2 楼 willko 2009-09-24  

lnnujxxy 写道

对于xss我通常使用htmlspecialchars转义过滤即可
不知博主使用这个过滤有什么好处，htmlspecialchars过滤那些不足！

使用这个可以从根本上解决xss问题，缺点是不支持html

1 楼 lnnujxxy 2009-09-24  

对于xss我通常使用htmlspecialchars转义过滤即可
不知博主使用这个过滤有什么好处，htmlspecialchars过滤那些不足！