是否存在已知的 XSS 或其他攻击使其无法通过
$content = "some HTML code";
$content = strip_tags($content);
echo $content;
?
manual有一个警告:
This function does not modify any attributes on the tags that you allow using allowable_tags, including the style and onmouseover attributes that a mischievous user may abuse when posting text that will be shown to other users.
但这仅与使用 allowable_tags 参数有关。
没有设置允许的标签，strip_tags() 是否容易受到任何攻击？
Chris Shiflett似乎说它是安全的:
Use Mature Solutions
When possible, use mature, existing solutions instead of trying to create your own. Functions like strip_tags() and htmlentities() are good choices.
这是正确的吗？如果可能，请引用来源。
我知道 HTML 净化器、htmlspecialchars() 等。我不是在寻找净化 HTML 的最佳方法。我只是想知道这个具体问题。这是提出的一个理论问题here .
最佳答案
顾名思义，strip_tags应删除所有 HTML 标记。我们可以证明它的唯一方法是分析源代码。下一个分析适用于 strip_tags('...')调用，没有白名单标签的第二个参数。
首先，关于 HTML 标签的一些理论:标签以 < 开头后跟非空白字符。如果此字符串以 ? 开头, 它should not be parsed .如果此字符串以 !-- 开头，它被视为注释，并且不应解析以下文本。评论以 --> 结束。 , 在这样的评论中，像 < 这样的字符和 >被允许。属性可以出现在标签中，它们的值可以选择用引号字符( ' 或 " )包围。如果存在这样的报价，则必须关闭，否则如果 >遇到，标签没有关闭。
代码 <a href="example>xxx</a><a href="second">text</a>在 Firefox 中被解释为:
<a href="http://example.com%3Exxx%3C/a%3E%3Ca%20href=" second"="">text</a>
PHP 函数 strip_tags 在 line 4036 of ext/standard/string.c 中引用.该函数调用 internal function php_strip_tags_ex .
存在两个缓冲区，一个用于输出，另一个用于“内部 HTML 标记”。一个名为 depth 的计数器保存开尖括号的数量 (<)。
变量 in_q包含引号字符( ' 或 " )(如果有)和 0否则。最后一个字符存储在变量 lc 中.
函数有五种状态，其中三种在函数上面的描述中提到。根据这些信息和函数体，可以推导出以下状态:
<)<和 !字符(标签缓冲区包含 <! )我们只需要注意不能插入任何标签。也就是说，<后跟一个非空白字符。 Line 4326用 < 检查一个案例字符如下所述:
<a href="inside quotes"> )，则 <字符被忽略(从输出中删除)。<被添加到输出缓冲区。1 ("inside HTML tag") 和最后一个字符 lc设置为 < depth递增，字符被忽略。如果 >在标签打开时满足( state == 1 )，in_q变成 0 ("不在报价中") 和 state变成 0 (“不在标签中”)。 标记缓冲区被丢弃。
属性检查(对于 ' 和 " 等字符)在被丢弃的标记缓冲区上完成。所以结论是:
strip_tags without a tag whitelist is safe for inclusion outside tags, no tag will be allowed.
“外部标签”是指不在 <a href="in tag">outside tag</a> 中的标签中。 .文本可能包含 <和 >但是，如 >< a>> .结果不是有效的 HTML，< , >和 &仍然需要逃脱，尤其是 & .这可以通过 htmlspecialchars() 来完成.
strip_tags 的描述没有白名单参数将是:
Makes sure that no HTML tag exist in the returned string.
关于php - strip_tags() 是否容易受到脚本攻击？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/5788527/
给定这段代码defcreate@upgrades=User.update_all(["role=?","upgraded"],:id=>params[:upgrade])redirect_toadmin_upgrades_path,:notice=>"Successfullyupgradeduser."end我如何在该操作中实际验证它们是否已保存或未重定向到适当的页面和消息？ 最佳答案 在Rails3中，update_all不返回任何有意义的信息，除了已更新的记录数(这可能取决于您的DBMS是否返回该信息)。http://ar.ru
我正在寻找执行以下操作的正确语法(在Perl、Shell或Ruby中):#variabletoaccessthedatalinesappendedasafileEND_OF_SCRIPT_MARKERrawdatastartshereanditcontinues. 最佳答案 Perl用__DATA__做这个:#!/usr/bin/perlusestrict;usewarnings;while(){print;}__DATA__Texttoprintgoeshere 关于ruby-如何将脚
这个问题在这里已经有了答案:Checktoseeifanarrayisalreadysorted?(8个答案)关闭9年前。我只是想知道是否有办法检查数组是否在增加？这是我的解决方案，但我正在寻找更漂亮的方法:n=-1@arr.flatten.each{|e|returnfalseife
我有一个在Linux服务器上运行的ruby脚本。它不使用rails或任何东西。它基本上是一个命令行ruby脚本，可以像这样传递参数:./ruby_script.rbarg1arg2如何将参数抽象到配置文件(例如yaml文件或其他文件)中？您能否举例说明如何做到这一点？提前谢谢你。 最佳答案 首先，您可以运行一个写入YAML配置文件的独立脚本:require"yaml"File.write("path_to_yaml_file",[arg1,arg2].to_yaml)然后，在您的应用中阅读它:require"yaml"arg
我想设置一个默认日期，例如实际日期，我该如何设置？还有如何在组合框中设置默认值顺便问一下，date_field_tag和date_field之间有什么区别？ 最佳答案 试试这个:将默认日期作为第二个参数传递。youcorrectlysetthedefaultvalueofcomboboxasshowninyourquestion. 关于ruby-on-rails-date_field_tag，如何设置默认日期？[rails上的ruby]，我们在StackOverflow上找到一个类似的问
我有一个包含多个键的散列和一个字符串，该字符串不包含散列中的任何键或包含一个键。h={"k1"=>"v1","k2"=>"v2","k3"=>"v3"}s="thisisanexamplestringthatmightoccurwithakeysomewhereinthestringk1(withspecialcharacterslike(^&*$#@!^&&*))"检查s是否包含h中的任何键的最佳方法是什么，如果包含，则返回它包含的键的值？例如，对于上面的h和s的例子，输出应该是v1。编辑:只有字符串是用户定义的。哈希将始终相同。 最佳答案
我需要检查DateTime是否采用有效的ISO8601格式。喜欢:#iso8601?我检查了ruby是否有特定方法，但没有找到。目前我正在使用date.iso8601==date来检查这个。有什么好的方法吗？编辑解释我的环境，并改变问题的范围。因此，我的项目将使用jsapiFullCalendar，这就是我需要iso8601字符串格式的原因。我想知道更好或正确的方法是什么，以正确的格式将日期保存在数据库中，或者让ActiveRecord完成它们的工作并在我需要时间信息时对其进行操作。 最佳答案 我不太明白你的问题。我假设您想检查
我的日期格式如下:"%d-%m-%Y"(例如，今天的日期为07-09-2015)，我想看看是不是在过去的七天内。谁能推荐一种方法？ 最佳答案 你可以这样做:require"date"Date.today-7 关于ruby-检查日期是否在过去7天内，我们在StackOverflow上找到一个类似的问题： https://stackoverflow.com/questions/32438063/
这里有一个很好的答案解释了如何在Ruby中下载文件而不将其加载到内存中:https://stackoverflow.com/a/29743394/4852737require'open-uri'download=open('http://example.com/image.png')IO.copy_stream(download,'~/image.png')我如何验证下载文件的IO.copy_stream调用是否真的成功——这意味着下载的文件与我打算下载的文件完全相同，而不是下载一半的损坏文件？documentation说IO.copy_stream返回它复制的字节数，但是当我还没有下
我们的git存储库中目前有一个Gemfile。但是，有一个gem我只在我的环境中本地使用(我的团队不使用它)。为了使用它，我必须将它添加到我们的Gemfile中，但每次我checkout到我们的master/dev主分支时，由于与跟踪的gemfile冲突，我必须删除它。我想要的是类似Gemfile.local的东西，它将继承从Gemfile导入的gems，但也允许在那里导入新的gems以供使用只有我的机器。此文件将在.gitignore中被忽略。这可能吗？ 最佳答案 设置BUNDLE_GEMFILE环境变量:BUNDLE_GEMFI