如何从html标签中删除属性？

5

HTML Purifier是用PHP清理HTML的更好的工具之一。

2009-04-20 21:45:05

14

虽然有更好的方法，你实际上可以剥去HTML标签参数使用正则表达式：

<?php 
function stripArgumentFromTags($htmlString) { 
    $regEx = '/([^<]*<\s*[a-z](?:[0-9]|[a-z]{0,9}))(?:(?:\s*[a-z\-]{2,14}\s*=\s*(?:"[^"]*"|\'[^\']*\'))*)(\s*\/?>[^<]*)/i'; // match any start tag 

    $chunks = preg_split($regEx, $htmlString, -1, PREG_SPLIT_DELIM_CAPTURE); 
    $chunkCount = count($chunks); 

    $strippedString = ''; 
    for ($n = 1; $n < $chunkCount; $n++) { 
     $strippedString .= $chunks[$n]; 
    } 

    return $strippedString; 
} 
?>

上面也许可以在更少的字符写的，但它的工作（快速和肮脏的）。

来源

2009-04-20 22:30:59 Jacco

-1

你也可以看看html净化器。诚然，它非常臃肿，如果它只是想象这个具体的例子，它可能不适合你的需求，但它或多或少地为可能的敌对html提供“防弹”净化。你也可以选择允许或禁止某些属性（它是高度可配置的）。

http://htmlpurifier.org/

来源

2011-06-02 09:19:56 Arend

9

地带属性（在PHP5标准）使用SimpleXML

<?php 

// define allowable tags 
$allowable_tags = '<p><a><img><ul><ol><li><table><thead><tbody><tr><th><td>'; 
// define allowable attributes 
$allowable_atts = array('href','src','alt'); 

// strip collector 
$strip_arr = array(); 

// load XHTML with SimpleXML 
$data_sxml = simplexml_load_string('<root>'. $data_str .'</root>', 'SimpleXMLElement', LIBXML_NOERROR | LIBXML_NOXMLDECL); 

if ($data_sxml) { 
    // loop all elements with an attribute 
    foreach ($data_sxml->xpath('descendant::*[@*]') as $tag) { 
     // loop attributes 
     foreach ($tag->attributes() as $name=>$value) { 
      // check for allowable attributes 
      if (!in_array($name, $allowable_atts)) { 
       // set attribute value to empty string 
       $tag->attributes()->$name = ''; 
       // collect attribute patterns to be stripped 
       $strip_arr[$name] = '/ '. $name .'=""/'; 
      } 
     } 
    } 
} 

// strip unallowed attributes and root tag 
$data_str = strip_tags(preg_replace($strip_arr,array(''),$data_sxml->asXML()), $allowable_tags); 

?>

来源

2011-09-28 11:51:36 Monkie

+0

这个伟大的工程，只不过如果你的输入html格式正确的话就是xml。否则，在分析之前，您必须对输入html进行一些预清理。如果你不完全控制源html输入，这可能是非常繁琐的消毒。 – 2015-08-18 04:20:24

7

这是一个功能，可以让你去除所有的属性，除了那些你想：

function stripAttributes($s, $allowedattr = array()) { 
    if (preg_match_all("/<[^>]*\\s([^>]*)\\/*>/msiU", $s, $res, PREG_SET_ORDER)) { 
    foreach ($res as $r) { 
    $tag = $r[0]; 
    $attrs = array(); 
    preg_match_all("/\\s.*=(['\"]).*\\1/msiU", " " . $r[1], $split, PREG_SET_ORDER); 
    foreach ($split as $spl) { 
     $attrs[] = $spl[0]; 
    } 
    $newattrs = array(); 
    foreach ($attrs as $a) { 
     $tmp = explode("=", $a); 
     if (trim($a) != "" && (!isset($tmp[1]) || (trim($tmp[0]) != "" && !in_array(strtolower(trim($tmp[0])), $allowedattr)))) { 

     } else { 
      $newattrs[] = $a; 
     } 
    } 
    $attrs = implode(" ", $newattrs); 
    $rpl = str_replace($r[1], $attrs, $tag); 
    $s = str_replace($tag, $rpl, $s); 
    } 
    } 
    return $s; 
}

在示例它会是：

echo stripAttributes('<p class="one" otherrandomattribute="two">');

或如果你例如。要保持“class”属性：

echo stripAttributes('<p class="one" otherrandomattribute="two">', array('class'));

或者

假设你将消息发送到收件箱和你CKEDITOR组成你的消息，你可以如下分配功能，并将它显示给$ message变量在发送之前。请注意，名称为stripAttributes（）的函数将去掉所有不必要的html标签。我试过了，它工作正常。我只看到了我加入的格式，如粗体e.t.c.

$message = stripAttributes($_POST['message']);

或可以echo $message;预览。

来源

2013-01-16 19:05:36

5

我诚实地认为唯一的方法是使用标签和属性白名单与HTML Purifier库。示例脚本这里：

<html><body> 

<?php 

require_once '../includes/htmlpurifier-4.5.0-lite/library/HTMLPurifier/Bootstrap.php'; 
spl_autoload_register(array('HTMLPurifier_Bootstrap', 'autoload')); 

$config = HTMLPurifier_Config::createDefault(); 
$config->set('HTML.Allowed', 'p,b,a[href],i,br,img[src]'); 
$config->set('URI.Base', 'http://www.example.com'); 
$config->set('URI.MakeAbsolute', true); 

$purifier = new HTMLPurifier($config); 

$dirty_html = " 
    <a href=\"http://www.google.de\">broken a href link</a 
    fnord 

    <x>y</z> 
    <b>c</p> 
    <script>alert(\"foo!\");</script> 

    <a href=\"javascript:alert(history.length)\">Anzahl besuchter Seiten</a> 
    <img src=\"www.example.com/bla.gif\" /> 
    <a href=\"http://www.google.de\">missing end tag 
ende 
"; 

$clean_html = $purifier->purify($dirty_html); 

print "<h1>dirty</h1>"; 
print "<pre>" . htmlentities($dirty_html) . "</pre>"; 

print "<h1>clean</h1>"; 
print "<pre>" . htmlentities($clean_html) . "</pre>"; 

?> 

</body></html>

我们得到以下的清洁，符合标准的HTML片段：

<a href="http://www.google.de">broken a href link</a>fnord 

y 
<b>c 
<a>Anzahl besuchter Seiten</a> 
<img src="http://www.example.com/www.example.com/bla.gif" alt="bla.gif" /><a href="http://www.google.de">missing end tag 
ende 
</a></b>

在你的情况下，白名单是：

$config->set('HTML.Allowed', 'p');

来源

2013-03-16 13:29:24 neingeist

如何从html标签中删除属性？

回答

相关问题