PHP中过滤HTML标签的5种有效方法：从基础函数到专业库防止XSS攻击

PHP中HTML标签过滤的5种有效方法

在Web开发中，用户提交的数据往往包含HTML标签，这可能引发XSS（跨站脚本攻击）等安全问题，或者破坏页面布局。因此，对HTML标签进行过滤和清理是PHP开发中的必备技能。本文将详细介绍5种在PHP中过滤HTML标签的有效方法，帮助你根据不同场景选择最合适的方案。

1. strip_tags()：最直接的标签移除函数

strip_tags() 是PHP内置的专门用于剥离HTML和PHP标签的函数。它简单高效，是处理纯文本输出的首选。该函数支持第二个参数，允许你保留部分安全的标签。

$text = "<p>这是段落。</p><a href='www.ipipp.com'>链接</a><script>alert(1);</script>";
// 移除所有标签
$clean1 = strip_tags($text);
// 允许保留<p>和<a>标签
$clean2 = strip_tags($text, '<p><a>');

优点：原生函数，无需额外依赖，执行速度快。
缺点：无法过滤标签内的恶意属性（如 onclick="alert(1)"），保留的标签仍可能带来安全隐患。

2. htmlspecialchars()：将标签转化为实体显示

如果你不想移除标签，而是希望将HTML标签原样显示在页面上（不希望浏览器解析执行），htmlspecialchars() 是最佳选择。它会把特殊字符转换为HTML实体。

$text = "<script>alert('XSS');</script>";
// 转换为 &lt;script&gt;alert('XSS')&lt;/script&gt;
$clean = htmlspecialchars($text, ENT_QUOTES, 'UTF-8');

优点：从根本上杜绝了XSS攻击，因为浏览器将其视为纯文本而非代码。
缺点：输出的内容会包含很多实体字符，不适合需要正常渲染富文本的场景。

3. preg_replace()：正则表达式精准过滤

当面对一些特殊的清理需求（如只删除特定标签，或只删除标签的某个危险属性）时，可以使用正则表达式。虽然不推荐用正则解析复杂的HTML，但对于简单规则它非常灵活。

$text = "<div style='display:none'>隐藏内容</div><script>malware()</script>";
// 移除所有script标签及其内容
$clean1 = preg_replace('/<script.*?>.*?</script>/is', '', $text);
// 移除所有标签的style属性
$clean2 = preg_replace('/ style=["'].+?["']/i', '', $text);

优点：规则自定义程度高，可以精准匹配特定模式。
缺点：正则表达式容易误杀或漏杀，复杂的HTML结构难以用正则完美匹配，容错率低。

4. DOMDocument：结构化文档操作

对于复杂的HTML片段，利用DOMDocument将字符串解析为DOM树，然后遍历删除指定节点，是一种比正则更健壮的做法。这种方式能正确处理残缺的标签。

$html = "<div>安全<script>alert(1)</script></div>";
$dom = new DOMDocument();
// 抑制HTML5标签可能产生的警告，指定编码为UTF-8
@$dom->loadHTML('<meta charset="utf-8">' . $html, LIBXML_HTML_NOIMPLIED | LIBXML_HTML_NODEFDTD);

$scripts = $dom->getElementsByTagName('script');
// DOMNodeList是动态的，必须从后往前删除节点
for ($i = $scripts->length - 1; $i >= 0; $i--) {
    $scripts->item($i)->parentNode->removeChild($scripts->item($i));
}
$clean = $dom->saveHTML();

优点：解析准确，操作结构化，能完美处理残缺、嵌套的标签。
缺点：开销较大，代码相对繁琐，对于简单文本有些大材小用。

5. HTML Purifier：专业的富文本过滤方案

如果你的业务需要用户提交富文本（如文章发布、评论支持排版），并且允许保留部分HTML标签及属性，HTML Purifier 是业界标准。它不仅能过滤恶意代码，还能修复不规范的HTML。

require_once 'HTMLPurifier.auto.php';

$config = HTMLPurifier_Config::createDefault();
// 设置允许的标签和属性白名单
$config->set('HTML.Allowed', 'p,b,a[href],i');
// 设置允许的目标链接跳转方式，防止钓鱼
$config->set('Attr.AllowedFrameTargets', '_blank');
// 配置缓存目录
$config->set('Cache.SerializerPath', '/tmp');

$purifier = new HTMLPurifier($config);
$dirty_html = '<p onclick="evil()"><a href="www.ipipp.com">点击</a></p>';
$clean = $purifier->purify($dirty_html);
// 输出: <p><a href="http://www.ipipp.com">点击</a></p>

优点：安全性极高，基于白名单机制，有效防住各种变形XSS攻击，自动补全残缺标签。
缺点：库文件较大，加载和执行消耗性能，配置相对复杂。

总结建议

在实际开发中，选择哪种方法取决于具体场景：如果是纯文本存储或展示，直接使用 strip_tags() 或 htmlspecialchars()；如果需要复杂的富文本过滤，务必引入 HTML Purifier；而正则和DOMDocument则适用于特定需求的过渡性处理。安全无小事，处理用户输入时始终保持“过滤输入，转义输出”的原则即可。

PHPHTML标签过滤XSS攻击防护strip_tagsHTML Purifier