htmlpurifier-富文本编辑器过滤XSS

本帖语言环境:php;开发框架:TP3.2;

1、htmlpurifier-4.6.0下载地址:https://files.cnblogs.com/files/samgo/htmlpurifier-4.6.0.zip

将下载好的压缩包解压,修改名称为htmlpurifier,放在如下目录:

2、定义公共函数clearXSS(),路径:Application/Common/Common/function.php(注意function.php不能写成functions.php)

/* 过滤xss函数 */
function clearXSS($string){
    require_once ‘./htmlpurifier/HTMLPurifier.auto.php‘;
    // 生成配置对象
    $_clean_xss_config = HTMLPurifier_Config::createDefault();
    // 以下就是配置:
    $_clean_xss_config->set(‘Core.Encoding‘, ‘UTF-8‘);
    // 设置允许使用的HTML标签
    $_clean_xss_config->set(‘HTML.Allowed‘,‘div,b,strong,i,em,a[href|title],ul,ol,li,p[style],br,span[style],img[width|height|alt|src]‘);
    // 设置允许出现的CSS样式属性
    $_clean_xss_config->set(‘CSS.AllowedProperties‘, ‘font,font-size,font-weight,font-style,font-family,text-decoration,padding-left,color,background-color,text-align‘);
    // 设置a标签上是否允许使用target="_blank"
    $_clean_xss_config->set(‘HTML.TargetBlank‘, TRUE);
    // 使用配置生成过滤用的对象
    $_clean_xss_obj = new HTMLPurifier($_clean_xss_config);
    // 过滤字符串
    return $_clean_xss_obj->purify($string);
}

3、POST提交时,除富文本编辑器(如商品描述)外的post数据(如商品名称、价格等)用TP自带的大I函数过滤,富文本内容用clearXSS()函数过滤;

注意:富文本与非富文本内容最好分开过滤,若是统一使用clearXSS()过滤,非富文本内容提交时可以提交clearXSS()允许使用的html标签,影响页面显示效果。

原文地址:https://www.cnblogs.com/samgo/p/8955314.html

时间: 2024-11-14 13:45:48

htmlpurifier-富文本编辑器过滤XSS的相关文章

BBS(仿博客园系统)项目05(后台管理功能实现:文章添加、富文本编辑器使用、xss攻击、BeautifulSoup4模块、富文本编辑器上传图片、修改头像)

摘要 布局框架搭建 随笔添加 后台管理富文本编辑器KindEditor xss攻击 文章简介的截取,BeautifulSoup4模块 富文本编辑器上传图片 头像修改 一.后台管理框架布局搭建 后台管理布局框架分析:导航条.左侧功能区.右侧主要功能显示和实现区 实现: 导航条:使用bootstrap模板:JavaScript>>导航条 左侧:使用bootstrap模板:组件>>列表组 右侧:使用bootstrap模板:JavaScript>>标签页 新建后台管理路由(注意

轻量级富文本编辑器wangEditor源码结构介绍

1. 引言 wangEditor——一款轻量级html富文本编辑器(开源软件) 网站:http://www.wangeditor.com/ demo演示:http://www.wangeditor.com/wangEditor/demo.html 下载(github):https://github.com/wangfupeng1988/wangEditor QQ群:164999061 从我发布wangEditor到现在,大概有七八个月了,随着近期增加的插入视频,表情,地图这三个功能,目前为止基本

django项目中使用KindEditor富文本编辑器

先从官网下载插件,放在static文件下 前端引入 <script type="text/javascript" src="/static/back/kindeditor/kindeditor-all.js"></script> <script> KindEditor.ready(function (K) { window.editor = K.create('#content', { {# 加上这句话可以使jquery能获取到富

springMVC -- 整合UEditor(富文本编辑器)

工作中需要用到UEditor编辑文本,在与springMVC进行整合时,出现了一些问题,结果导致,在进行图片上传时出现如下提示: 上网查询了很多相关资料,此处简要记录下,防止以后遇到类似问题. 1.编写controller 如下(该接口是ueditor前后台交互的统一路径) : package com.test.dcdp.controller; import java.io.IOException; import java.io.PrintWriter; import javax.servlet

【ThinkPHP学习】ThinkPHP自动转义存储富文本编辑器内容导致读取出错

RT. ThinkPHP的conf文件中的Convention.php有一个配置选项 'DEFAULT_FILTER' => 'htmlspecialchars', // 默认参数过滤方法 用于I函数... 默认这个方法是开启的.也就是说,我们往数据库里面存储的数据中都会经过htmlspecialchars这个函数的转义处理. 我在我的项目中使用了Kindeditor富文本编辑器(或许你使用的是Ueditor\ckeditor),通过富文本编辑器编辑文章的内容然后存储到数据库中,再从数据库中读取

百度富文本编辑器UEditor1.3上传图片附件等

今天一直在整我的一个项目的编辑器上传图片,我用的是百度UEditor 1.3版本的:现在已经有了1.4的了,不过还算比较新吧,但是官网上面没有上传图片这些的教程,而网上对于这方面的资料很少啊,折腾了我半天,看了一些以前版本的上传图片的问题,最后终于搞定了. 先说说我的这个项目的配置情况吧 用的是SSH框架:struts2.3.16 spring3.2.5 hibernate3.3.2 ueditor 1.3-utf-8-jsp版 jdk 1.7 开发工具用的是myeclipse10.7 直接把项

KindEditor 一款好用的HTML可视化编辑器(富文本编辑器)

KindEditor使用JavaScript编写,可以无缝的于Java..NET.PHP.ASP等程序接合. KindEditor非常适合在CMS.商城.论坛.博客.Wiki.电子邮件等互联网应用上使用,2006年7月首次发布2.0以来,KindEditor依靠出色的用户体验和领先的技术不断扩大编辑器市场占有率,目前在国内已经成为最受欢迎的编辑器之一. ---以上内容来自百度百科 怎么用呢? 下载kindeditor 官网下载地址在这里 下载完成后,解压完并放入自己的项目中,目录结构如图: 初始

搭建自己的博客(十三):为博客后台添加ckeditor富文本编辑器

使用django默认的编辑器感觉功能太少了,所以集成一下富文本编辑器. 1.安装和使用 (1).安装 pip install django-ckeditor (2).注册应用 在django的settings中添加‘ckeditor’的app (3).配置models 将需要用到富文本编辑器的字段改成RichTextField 上面三步配置过后是不能上传图片的,下面配置上传图片的功能. (4).安装pillow库 pip install pillow (5).注册应用 添加'ckeditor_u

springMVC -- 对接UEditor(富文本编辑器)

工作中需要用到UEditor编辑文本,在与springMVC进行整合时,出现了一些问题,结果导致,在进行图片上传时出现如下提示: 上网查询了很多相关资料,此处简要记录下,防止以后遇到类似问题. 一种方式是直接修改源码,步骤如下: 1.编写controller 如下(该接口是ueditor前后台交互的统一路径) : package com.test.dcdp.controller; import java.io.IOException; import java.io.PrintWriter; im