在富文本編輯器里輸入html代碼是正常的,所以使用htmlspecialchars函數是不起作用的 安裝 ``` composer require ezyang/htmlpurifier ``` 成功后子composer.son多出這句 ``` "ezyang/htmlpurifier": "^4.12" ``` 在config.php下定義全局過濾函數 ``` 'default_filter' => 'removeXSS',//htmlspecialchars,removeXSS ``` common.php添加如下 ``` function removeXSS($dirty_html){ if ($dirty_html=== ''||$dirty_html === (string)((int)$dirty_html)) { return $dirty_html; } require '../vendor/autoload.php'; //或者 //require_once 'library/HTMLPurifier.includes.php'; // 載入核心文件 // 生成配置對象 配置文檔http://htmlpurifier.org/live/configdoc/plain.html $config = HTMLPurifier_Config::createDefault(); // 清理配置緩存,上線時關掉這句 $config->set('Cache.DefinitionImpl', null); $config->set('HTML.Allowed','a[href|title]'); echo 3; //var_export($config, FALSE);//true為返回，false為輸出 // 使用配置生成過濾用的對象 $purifier = new HTMLPurifier($config); // 過濾字符串 $clean_html = $purifier->purify($dirty_html); return $clean_html; } ``` 注意 必須使用input函數或者Request類接受表單數據才會觸發 定義的全局過濾函數