HTMLPurifierとは何ですか？

Question

どのように正確に使用しますか？これは本当にXSS攻撃を防ぐために必要なのでしょうか？誰かがhtmlspecialchars、mysql_real_escape_string、htmlpurifier、およびその他の形式の注入防御の違いについて説明してください。 HTMLPurifierはJS攻撃から防御していますか？

Answer 1

典型的な使用例では、はありませんはHTMLを許可します。そのような場合、マークアップなどを取り除くことはできますが、それを行うだけでXSS（またはSQLインジェクションなど）からあなたを守ることはできません。

HTMLを必要としない場合は、htmlspecialcharsなどを使用してXSSを防ぐために出力をエスケープします。そのような場合は、SQLエスケープを使用してSQLインジェクションを防止します。

一般に、すべてのマークアップを削除して、常にhtmlspecialcharsを使用する方が簡単です。

が絶対ににする必要がある場合は、HTMLPurifierが意味するものです。