在开发一个允许用户提交网页内容的项目时，确保这些内容的安全性是至关重要的。我遇到的一个具体问题是，用户可能会在 html、svg 或 mathml 文件中嵌入恶意代码，导致潜在的安全漏洞。为了解决这个问题，我尝试了多种方法，但效果不尽如人意。最终，我发现了 rhukster/dom-sanitizer 这个库，它专为 php 7.4+ 设计，能够有效地清理和过滤危险的标签和属性。
安装这个库非常简单，只需使用 Composer：
composer require rhukster/dom-sanitizer
rhukster/dom-sanitizer 借鉴了 JavaScript 库 DOMPurify 的标签和属性列表，并使用 PHP 的 DOMDocument 来解析和过滤 DOM。这个库提供了多种选项，可以根据需要定制清理过程。例如，你可以选择是否移除命名空间、PHP 标签、HTML 标签、xml 标签，以及是否压缩输出。
使用这个库，你可以轻松地清理 HTML、SVG 和 MathML 内容。例如，要清理 HTML 内容，你可以这样做：
require 'vendor/autoload.php'; use RhuksterDomSanitizerDOMSanitizer; $input = file_get_contents('bad.html'); $sanitizer = new DOMSanitizer(DOMSanitizer::HTML); $output = $sanitizer->sanitize($input, [ 'remove-html-tags' => false, ]);
如果你专门处理 SVG 内容，可以这样做：
require 'vendor/autoload.php'; use RhuksterDomSanitizerDOMSanitizer; $input = file_get_contents('bad.svg'); $sanitizer = new DOMSanitizer(DOMSanitizer::SVG); $output = $sanitizer->sanitize($input);
对于 MathML 内容，清理过程同样简单：
require 'vendor/autoload.php'; use RhuksterDomSanitizerDOMSanitizer; $input = file_get_contents('mathml-sample.xml'); $sanitizer = new DOMSanitizer(DOMSanitizer::MATHML); $output = $sanitizer->sanitize($input, [ 'compress-output' => false, ]);
rhukster/dom-sanitizer 还允许你自定义允许或不允许的标签和属性。你可以使用以下方法来修改这些设置：
public function addAllowedTags(array $allowed_tags): void public function addAllowedAttributes(array $allowed_attributes): void public function addDisallowedTags(array $disallowed_tags): void public function addDisallowedAttributes(array $disallowed_attributes): void public function getAllowedTags(): array public function setAllowedTags(array $allowed_tags): void public function getAllowedAttributes(): array public function setAllowedAttributes(array $allowed_attributes): void public function getDisallowedTags(): array public function setDisallowedTags(array $disallowed_tags): void public function getDisallowedAttributes(): array public function setDisallowedAttributes($disallowed_attributes): void
使用 rhukster/dom-sanitizer 后，我的项目在处理用户提交的内容时变得更加安全和高效。这个库不仅解决了我的安全问题，还提供了高度的灵活性，使得自定义清理过程变得简单而有效。如果你在处理网页内容时遇到类似的安全问题，强烈推荐你尝试使用 rhukster/dom-sanitizer。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
