Очистка html атрибутов

Question

[Snewer]

Здравствуйте!

Как лучше всего очищать пользовательский html?
делаю так:
1. Удаляю все теги, кроме разрешенных
2. Удаляю атрибуты рег. выражением:
~\s*(on*).*\=.*\".*\"~is

что посоветуете? и на сколько убожественно рег. выражение?

Answer 1

[Алексей]

HTML Purifier или аналоги. Либо навелосипедить пересбор дерева с помощью DOMDocument. Регулярные выражение не подойдут - беспомощны в случае XSS.

Comments

[Snewer]

Почему?

[Алексей]

Потому что основная идея идет как раз в создании невалидного html, для использования в своих целях. Регулярными выражениями можно уверено контролировать только "хороший" html код.

[Snewer]

Можно пример такого невалидного кода?

[Snewer]

Поигрался с HTML Purifier. Вроде удобный класс, прикрутил его, спасибо!

Answer 2

[Виталий Архипов]

Почему с аттрибутами не поступить так же - удалить все, кроме разрешенных, а разрешенные проверять на валидность?

Comments

[Snewer]

теги удаляю нативной php функцией.Для атрибутов такой нет,поэтому использую рег.выражение см.выше

Answer 3

[Александр Борисович]

посмотрите в tinymce код регулярок. Там на счет этого настраивается все что душе угодно. Отличный визуальник.