問題タブ [htmlpurifier]

私の考えは、サーバー側でHTMLコードを縮小して、クライアントが受け取るバイト数を減らすことです。

「縮小」とはどういう意味ですか？

ジッパーではありません。たとえば、jQueryの作成者が.min.jsバージョンを使用するようなものです。つまり、不要な空白や新行を削除する必要がありますが、HTMLの表示が変わるほど削除できません（たとえば、段落内の実際の単語間の空白を削除します）。

それを行うことができるツールはありますか？HtmlPurifierがあることは知っています。それはできますか？他のオプションはありますか？

PS正規表現を提供しないでください。チャックノリスだけがHTMLを解析できることを私は知っています。=]

HTMLPurifier にいくつかのテストを行って、すべてが期待どおりに機能することを確認しています。http://ha.ckers.org/xss.htmlの例を使用しています。私がコード化したものはすべて「正しい」と思いますが、xxs の例の 1 つをそのまま渡すことができます。誰でも私を助けることができますか？

関数を宣言し、データを処理するページ common1.php を次に示します。

そして、xxs を渡そうとする (そして 0_o を成功させる) デバッグ スクリプトを次に示します。

以前に LAMP ベースの製品に htmlpurifier を統合しましたが、少し遅かったです。最近、mod_security を有効にしました。これらは両方とも OWASP プロジェクトの一部であるため (owasp は内部で htmlpurifer を使用しており、最後に確認しました)、セキュリティが冗長であると考えています。

何を提案しますか？htmpurifier をオフにすることは実行可能なオプションですか? 回答ありがとうございます。

PHPで多くのことを行い、TinyMCEのようなものからリッチテキスト入力を受け取った人は、（おそらく）HTMLPurifierのようなものを使用して、ユーザーに意図的に送信を許可しているHTMLから厄介なものを排除しました。

たとえば、HTMLPurifierは（不正な形式の可能性がある）HTMLの文字列を取得し、許可されていない要素と属性を取り除き、壊れたHTMLを修正しようとし、場合によってはのようなものをに変換<i>し<em>ます。

Rails（3）に相当するものはありますか？Railsのリッチテキストエディタからの入力をサニタイズして、エスケープされていないHTMLをWebページに出力し、<style>タグ<script>などが削除されてページを壊さない（または盗むことがない）ようにするための一般的に受け入れられている方法は何ですか？あなたのクッキー！）？

編集| Sanitizeを使用した人はいますか？賛否両論の他のオプションはありますか？

ユーザーが自分のプロファイル (MySpace、Friendster、Blogger など) にカスタム CSS を入力できるアプリケーションを構築しています。

問題は、CSS を介して XSS 攻撃を浄化する方法を見つけるのに苦労していることです。HTMLPurifier を使ってみましたが、うまくいきません。一例：

これは、HTMLPurifier によって許可されます。

これを無効にするために HTMLPurifier に使用する必要がある設定はありますか?

ありがとう！

更新
は式です: CSS 経由でエクスプロイトをプッシュする唯一の方法ですか? もしそうなら、正規表現は HTMLPurifier を使用するよりも効率的でしょうか?

私のHTMLピュリファイア設定では、これらのタグのみが許可されるようになりました

リストのインデントを許可したいのですが、エディターはこのhtmlを使用しています

HTMLPurifier Allowedタグを変更するにはどうすればよいですか？を追加styleしようと思いましたが、許可されるスタイルを正確に指定する方がよいと思います。この場合は、を指定しますmargin-left。HTMLを変更する正しい方法は何ですか。この場合は許可されますか？

ユーザーが中央揃えのテキストを入力できるようにし、htmlpurifier がそれを取り除かないようにするコードが必要です。

ありがとう！

私はHTMLPurifierを使用していますが、あなたもそうです：

リンクからすべての「ターゲット」属性を削除します。

なぜそれをしているのですか？

私の PHP 電子メール コンタクト フォームを使用し、メール メッセージに次のように書いているスパマーがいます。

メッセージ内のha [url=and [/url]and [link=and [/link]and and http://andを検索し.comて削除したいと思います。

何らかの理由で、html purifier が p タグをクリアします。p が span タグ内にある場合に発生します。例えば：

出力：

私のhtmlpurifier設定：