HTMLPurificador vs Kses

Question

¿Cuáles son las ventajas/desventajas de ambos?

¿Cuál de ellas usarías para filtrar el comentario de un usuario en una publicación en un sitio web?

Answer 1

kses no se ha actualizado en 7 años, creo que eso es suficiente para eliminarlo de inmediato.

Sin embargo, la verdadera pregunta es: ¿Tiene necesita para aceptar la entrada HTML en los comentarios de los usuarios?

Porque si no lo hace, la solución correcta al problema está utilizando htmlspecialchars antes de repetir los comentarios como HTML, y eso es todo. No se requiere nada más.

Incluso si necesita permitir a los usuarios formatear sus comentarios, hay varios lenguajes de marcado alternativos (BBCode, MarkDown, Textile - esto es lo que SO usa cuando escribe) que son ampliamente utilizados y más que adecuados para el tarea.

Considere que incluso puede compilar Wikipedia sin aceptar la entrada HTML.

Answer 2

Un buen artículo que me aconsejó fue:

HTML Sanitisation: The Devil’s In The Details (And The Vulnerabilities)

utilizo HTMLPurifier en casi todos mis proyectos, ya que con el almacenamiento en caché, no hay un gran impacto en el rendimiento.

Answer 3

Recientemente he creado un puerto de filtro Drupal XSS. Es una versión avanzada de Kses. https://github.com/ymakux/xss

$filter = new Filter(); 

// List of allowed protocols 
$allowed_protocols = array('http', 'ftp', 'mailto'); 

// List of allowed tags you want to keep in text 
$allowed_tags = array('a', 'i', 'b', 'em', 'span', 'strong', 'ul', 'ol', 'li', 'table', 'tr', 'td', 'thead', 'th', 'tbody'); 

$filter->addAllowedProtocols($allowed_protocols); 
$filter->addAllowedTags($allowed_tags); 

// Parse string 
$filtered_string = $filter->xss($string);