【HTML过滤】自己写的一个过滤富文本HTML的PHP函数，是否存在漏洞

Question

本帖最后由 default7 于 2014-05-29 10:42:29 编辑

Answer 1

<script>标签不过滤吗？另外标签中可能有空格
我是寻找<>中的'script'字符串，如果存在就error，彻底不鸟他
至于style和link倒是提醒我了...
或者换个思路，用strip_tags()过滤，只保留编辑器常用的p span img  table等等如何？
老前辈都是怎么处理的

Answer 2

script 已经过滤了的啊，替换了。

Answer 3

丢人了 光看注释了
一会找时间看看discuz的过滤

Answer 4

这种东西网上一搜一大把，建议先看看别人怎么写的
另外
    $str = preg_replace("/[\r\n\t ]{3,}/", '\\1', $str); //过滤过长的换行变成1个在你理解中，\\1是个啥？你都没有用子匹配，哪来的\\1啊