什么是XSS攻击？
XSS（Cross-Site Scripting）攻击是指攻击者在网页中插入恶意脚本，当其他用户浏览该页面时，恶意脚本会被执行，从而盗取用户信息、会话令牌或进行其他恶意操作。
方法一：htmlspecialchars() – 最常用的转义方法
htmlspecialchars() 是PHP中最基本的XSS防护函数，它将特殊字符转换为HTML实体：
<?php $input = 'alert("XSS攻击")正常内容
';
$safe_output = htmlspecialchars($input, ENT_QUOTES, 'UTF-8');
echo $safe_output;
// 输出：<script>alert("XSS攻击")</script><p>正常内容</p>
参数详解：
-
ENT_QUOTES：转换双引号和单引号 -
UTF-8：指定字符编码，防止编码绕过攻击
适用场景： 纯文本输出，不需要保留任何HTML格式
方法二：strip_tags() – 彻底移除HTML标签
如果你确定不需要任何HTML标签，使用strip_tags()可以彻底移除它们：
<?php $input = 'alert("XSS")正文内容
加粗文本';
$safe_output = strip_tags($input);
echo $safe_output;
// 输出：alert("XSS")正文内容加粗文本
选择性保留标签：
<?php $input = 'alert("XSS")正文
加粗斜体';
$safe_output = strip_tags($input, ''); // 只保留
和标签
echo $safe_output;
// 输出：
正文
加粗斜体
- 优点： 简单直接，性能好
- 缺点： 无法过滤标签内的属性
方法三：filter_var() – 使用PHP过滤器扩展
PHP过滤器扩展提供了更规范的过滤方式：
<?php $input = 'alert("XSS")正常内容
';
$safe_output = filter_var($input, FILTER_SANITIZE_STRING);
echo $safe_output;
// 输出：alert("XSS")正常内容
// 专门用于过滤HTML
$html_output = filter_var($input, FILTER_SANITIZE_FULL_SPECIAL_CHARS);
方法四：HTMLPurifier – 企业级解决方案
对于需要保留安全HTML内容的场景，HTMLPurifier是最佳选择：
安装方法：
composer require ezyang/htmlpurifier
使用示例：
set('HTML.Allowed', 'p,br,strong,em,ul,ol,li,a[href]');
$config->set('AutoFormat.RemoveEmpty', true);
$purifier = new HTMLPurifier($config);
$input = 'alert("XSS")安全内容
链接';
$safe_output = $purifier->purify($input);
echo $safe_output;
// 输出：安全内容
链接
优势：
- 遵循HTML标准
- 支持细粒度配置
- 能过滤危险的标签属性
- 社区活跃，持续更新
方法五：自定义过滤函数
针对特定需求，可以创建自定义过滤函数：
<?php function advanced_xss_clean($data) {
if (empty($data)) return '';
// 递归处理数组
if (is_array($data)) {
return array_map('advanced_xss_clean', $data);
}
// 移除NULL字节
$data = str_replace(chr(0), '', $data);
// 转换特殊字符
$data = htmlspecialchars($data, ENT_QUOTES | ENT_HTML5, 'UTF-8', true);
// 移除危险的JavaScript模式
$patterns = [
'/javascript:/i',
'/vbscript:/i',
'/onw+s*=/i', // 移除onclick等事件属性
'/expressions*(/i' // 移除CSS表达式
];
foreach ($patterns as $pattern) {
$data = preg_replace($pattern, '', $data);
}
return $data;
}
// 使用示例
$input = ')
';
echo advanced_xss_clean($input);
?>
实战：根据不同场景选择防护策略
场景1：用户评论（允许有限HTML）
<?php function filter_comment($content) {
$allowed_tags = '
场景2：显示用户名（纯文本）
场景3：URL参数
完整的安全防护示例
set('HTML.Allowed', 'p,br,strong,em,ul,ol,li,a[href|title]');
$purifier = new HTMLPurifier($config);
return $purifier->purify($html);
}
private static function escape_attribute($data) {
return htmlspecialchars($data, ENT_QUOTES, 'UTF-8', false);
}
}
// 使用示例
$user_input = [
'username' => 'alert("xss")',
'comment' => '正常评论
恶意代码',
'website' => 'javascript:alert(1)'
];
$cleaned_data = SecurityHelper::xss_clean($user_input);
print_r($cleaned_data);
?>
防御深度建议
- 输入验证：在接收数据时进行严格验证
- 输出转义：根据输出上下文进行适当的转义
- 内容安全策略(CSP)：设置HTTP头
header("Content-Security-Policy: default-src 'self'");
- HttpOnly Cookie：防止Cookie被JavaScript读取
- 框架安全特性：优先使用框架提供的安全方法
总结
XSS防护是一个多层次的过程，需要根据具体场景选择合适的过滤策略：
-
纯文本输出：使用
htmlspecialchars() -
完全移除HTML：使用
strip_tags() - 保留安全HTML：使用 HTMLPurifier
- 企业级应用：结合多种方法，建立完整防护体系
记住：永远不要信任用户输入，在显示任何用户提供的数据之前，都要进行适当的过滤和转义。
到此这篇关于PHP中HTML标签过滤的5种有效方法的文章就介绍到这了,更多相关PHP HTML标签过滤内容请搜索IT俱乐部以前的文章或继续浏览下面的相关文章希望大家以后多多支持IT俱乐部！
