Как безопасно разрешить отправлять ссылки в базу и выводить их в дальнейшем?

Question

[root09]

Есть форма куда пользователь пишет сообщение, затем его нужно вывести на страницу, как безопасно разрешить отправлять ссылки (другие теги не нужно), что бы не получить xss?

Сейчас перед отправкой в базу делаю

$message = strip_tags($message, 'a'); // должно удалить все теги кроме ссылок

и потом просто вывожу
{!! $message !!}

это безопасно?

Answer 1

[FanatPHP]

Нет, небезопасно. Достаточно раз в жизни открыть страницу документации по strip_tags и прочитать, что там написано.

Про теги вообще надо забыть и использовать markdown.

Answer 2

[Immortal_pony]

Более или менее надёжен HTML Purifier в этом вопросе (htmlpurifier.org)