删除图像标记之间的所有空白

Question

我让用户提交一些文本（包括随机的html图像链接），然后我尝试从文本中的图像创建一个基本的BBCode[img][/img]标记。

我目前的测试方式如下：

字符串（取自随机论坛）：

在进行了几年的常规降下、安装车轮等工作后，当涉及到汽车改装时，我们花了几年时间在英国南部的Minimoto锦标赛上进行了全国各地的Minimoto赛车，赢得了2006年的生产私掠者锦标赛。

然后，我使用以下函数替换任何图像属性/将图像标记更改为bbcode：

function convert($text) {
  $text = preg_replace('/class=".*?"/', '', $text);
  $text = preg_replace('/alt=".*?"/', '', $text);
  $text = preg_replace('/src="/', '', $text);
  $text = preg_replace('/border=".*?"/', '', $text);
  $text = preg_replace('/onload=".*?"/', '', $text);
  $text = str_replace("<img", "[img]", "$text");
  $text = str_replace('">', "[/img]", "$text");
  return nl2br($text);
}

如果标签没有用尾随斜杠关闭，这是非常好的。我可以再加一条规则：

  $text = str_replace('"/>', "[/img]", "$text");

这会起作用，但在我删除属性的地方仍然有空白。

因此，我的问题是，我是否可以删除img标签之间的空白：

  <img />

例如，在preg_replace函数中，.*？替换“”之间的内容。

我可以做一个类似的事情，但与img标签和删除他们之间的空白？

我显然不能跑了：

  $text = preg_replace('/\s+/', '', $text);

因为我需要文本中的空白等。

谢谢！




Answer 1

您应该删除任何空白和胭脂属性，以便几乎所有属性，尤其是onClick、onBlur等on*事件属性。将XSS攻击添加到HTML中的方法太多了。制作能够将它们全部删除的东西是不可维护的，所以如果您想让用户输入HTML，请使用htmlpurifier。它很容易初始化到您的代码中，并且有很多选项。

一个简单的替代方法是，只提取img的src，然后删除属性并将src放回并生成一个图像字符串，然后使用strip_tags（）删除所有HTML，然后将图像连接到文本上。但它缺少图像的定位。

所以类似这样的东西：

<?php 
$html = <<<DEMO
After a fair <script>alert('XSS');</script>few ...
winning the 2006 Production Privateer Championship.<br /> 
<div style="background-image: url(javascript:alert('XSS'))"></div>
<br /> 
<img src="http://i2.photobucket.com/albums/y18/moo0484/scan0001.jpg" border="0" class="tcattdimglink" onload="NcodeImageResizer.createOn(this);" alt="" /><br /> 
<br /> 
text here
<img src="http://i2.photobucket.com/albums/y18/moo0484/01072007065.jpg" border="0" class="tcattdimglink" onload="NcodeImageResizer.createOn(this);" alt="" /><br />
more txt here
DEMO;

$dom = new DOMDocument;
@$dom->loadHTML($html);

$xpath = new DOMXPath($dom);

if (false === ($elements = $xpath->query("//*"))) die('Error');

foreach ($elements as $element) {

    //remove script tags
    if($element->nodeName=='script'){
        $element->parentNode->removeChild($element);
    }

    //remove empty tags but not images
    if (!$element->hasChildNodes() || $element->nodeValue == '') {
        if($element->nodeName != 'img'){
            $element->parentNode->removeChild($element);
        }
    }

    //remove all attributes except links and imgs
    for ($i = $element->attributes->length; --$i >= 0;) {
        $name = $element->attributes->item($i)->name;
        if (('img' === $element->nodeName && 'src' === $name) || ('a' === $element->nodeName && 'href' === $name)){
            continue;
        }
        $element->removeAttribute($name);
    }
}

//put dom together and remove the document body
echo preg_replace('~<(?:!DOCTYPE|/?(?:html|body))[^>]*>\s*~i', '', $dom->saveHTML());

/*
<p>After a fair few ...
winning the 2006 Production Privateer Championship.</p>
<img src="http://i2.photobucket.com/albums/y18/moo0484/scan0001.jpg"> 
text here
<img src="http://i2.photobucket.com/albums/y18/moo0484/01072007065.jpg">
more txt here
*/

虽然只是考虑使用htmlpurifier，但20世纪90年代的人也在打电话，他们想让BBCODE恢复使用markdown；P

祝你好运