[PHP] Unerwünschte HTML-Tags + Attribute entfernen mit ausnahmen

[Papenburger]

Hallo,

ich möchte unerwünschte HTML-Tags sowie Attribute der Tags aus den Benutzereingaben entfernen. Dabei möchte ich bestimmt Tags bzw. Attribute erlauben. Kennt jemand eine Funktion die dies ermöglicht oder hat jemand etwas selbst geschriebenes, welche zuverlässig arbeitet?

strip_tags() hilft mir leider nicht weiter, da ich dann immernoch unerwünschte Attribute in den HTML-Tags habe.

Beispiel:
User postet folgenden HTML-Code:

1:
2:
3:
<P align="RIGHT">Test 1</P>
<a target="_blank" href="http://www.test.de">Test.de</a>
<CENTER>Zentriert</CENTER>

Erlaubte HTML-Tags:
P
a

Erlaubte Attribute:
href
target

Ergebnis wäre nun von oben folgendes:

1:
2:
3:
<P>Test 1</P>
<a target="_blank" href="http://www.test.de">Test.de</a>
Zentriert

Somit ist nun folgendes rausgeflogen:
align="RIGHT" im p-Tag
<CENTER>
</CENTER>


Natürlich muss, wenn das Tag nicht erlaubt ist, der Text erhalten bleiben welcher zwischen dem öffnenden und dem schließendem Tag steht, so wie im Beispiel!


Wer hat hier etwas passendes?


MFG
Papenburger

[ice-breaker]

HTML Purifier
ein mehr als bewährtes Framework genau für den Einsatzzweck

[Papenburger]

Zitat von ice-breaker

HTML Purifier
ein mehr als bewährtes Framework genau für den Einsatzzweck

Ersteinmal vielen Dank dafür. Sicherlich würde dieses Framework mir weiterhelfen. Leider darf ich es aus verschiedenen Gründen nicht auf dem Server installieren. Hättest du evtl. noch einen anderen Lösungsvorschlag?


LG Papenburger

[ice-breaker]

und die Gründe wären?
Es gibt soweit ich weiß aktuell keine andere sichere Lösung.

[joschilein]

Zitat von Papenburger

Hättest du evtl. noch einen anderen Lösungsvorschlag?

Da würde dann wohl noch helfen die Funktionsweise mit Hilfe von eigenen Regex-Konstrukten nachzubilden. Wenn z.B. preg_match_all() funktionsfähig ist, sollte das dann schon klappen können.

[Black-Horse]

die aufgabe einfach teilen
erst mit strip_tags alles rauswerfen und dann mit dem simple_html_dom den dom entsprehend manipulieren und ausgeben - oder eben selbst durchhangeln

[ice-breaker]

der HtmlPurifier verfolgt nicht ohne Grund einen Whitelist-Ansatz (es wird der DOM anhand erlaubter Tags neu aufgebaut), denn bei allen HTML-Filtern davor die auf einem Blacklist-Ansatz beruhten gab es zu viele Möglichkeiten doch einmal böses HTML durchzuschleußen.