PHP執行個體——輸出安全的HTML代碼

標籤：style   blog   http   ar   io   color   os   sp   for   

原文:PHP執行個體——輸出安全的HTML代碼

//輸出安全的html
function h($text, $tags = null){
    $text    =    trim($text);
    //完全過濾注釋
    $text    =    preg_replace(‘/<!--?.*-->/‘,‘‘,$text);
    //完全過濾動態代碼
    $text    =    preg_replace(‘/<\?|\?‘.‘>/‘,‘‘,$text);
    //完全過濾js
    $text    =    preg_replace(‘/<script?.*\/script>/‘,‘‘,$text);

    $text    =    str_replace(‘[‘,‘&#091;‘,$text);
    $text    =    str_replace(‘]‘,‘&#093;‘,$text);
    $text    =    str_replace(‘|‘,‘&#124;‘,$text);
    //過濾分行符號
    $text    =    preg_replace(‘/\r?\n/‘,‘‘,$text);
    //br
    $text    =    preg_replace(‘/<br(\s\/)?‘.‘>/i‘,‘[br]‘,$text);
    $text    =    preg_replace(‘/(\[br\]\s*){10,}/i‘,‘[br]‘,$text);
    //過濾危險的屬性，如：過濾on事件lang js
    while(preg_match(‘/(<[^><]+)( lang|on|action|background|codebase|dynsrc|lowsrc)[^><]+/i‘,$text,$mat)){
        $text=str_replace($mat[0],$mat[1],$text);
    }
    while(preg_match(‘/(<[^><]+)(window\.|javascript:|js:|about:|file:|document\.|vbs:|cookie)([^><]*)/i‘,$text,$mat)){
        $text=str_replace($mat[0],$mat[1].$mat[3],$text);
    }
    if(empty($tags)) {
        $tags = ‘table|td|th|tr|i|b|u|strong|img|p|br|div|strong|em|ul|ol|li|dl|dd|dt|a‘;
    }
    //允許的HTML標籤
    $text    =    preg_replace(‘/<(‘.$tags.‘)( [^><\[\]]*)>/i‘,‘[\1\2]‘,$text);
    //過濾多餘html
    $text    =    preg_replace(‘/<\/?(html|head|meta|link|base|basefont|body|bgsound|title|style|script|form|iframe|frame|frameset|applet|id|ilayer|layer|name|script|style|xml)[^><]*>/i‘,‘‘,$text);
    //過濾合法的html標籤
    while(preg_match(‘/<([a-z]+)[^><\[\]]*>[^><]*<\/\1>/i‘,$text,$mat)){
        $text=str_replace($mat[0],str_replace(‘>‘,‘]‘,str_replace(‘<‘,‘[‘,$mat[0])),$text);
    }
    //轉換引號
    while(preg_match(‘/(\[[^\[\]]*=\s*)(\"|\‘)([^\2=\[\]]+)\2([^\[\]]*\])/i‘,$text,$mat)){
        $text=str_replace($mat[0],$mat[1].‘|‘.$mat[3].‘|‘.$mat[4],$text);
    }
    //過濾錯誤的單個引號
    while(preg_match(‘/\[[^\[\]]*(\"|\‘)[^\[\]]*\]/i‘,$text,$mat)){
        $text=str_replace($mat[0],str_replace($mat[1],‘‘,$mat[0]),$text);
    }
    //轉換其它所有不合法的 < >
    $text    =    str_replace(‘<‘,‘&lt;‘,$text);
    $text    =    str_replace(‘>‘,‘&gt;‘,$text);
    $text    =    str_replace(‘"‘,‘&quot;‘,$text);
     //反轉換
    $text    =    str_replace(‘[‘,‘<‘,$text);
    $text    =    str_replace(‘]‘,‘>‘,$text);
    $text    =    str_replace(‘|‘,‘"‘,$text);
    //過濾多餘空格
    $text    =    str_replace(‘  ‘,‘ ‘,$text);
    return $text;
}

PHP執行個體——輸出安全的HTML代碼