几个月前，我的网站上线了一个用户评论功能。起初一切顺利，直到有一天，我发现网站上出现了恶意脚本，这些脚本能够窃取用户的Cookie和其他敏感信息。经过排查，我发现这些恶意代码都隐藏在用户提交的评论内容中，它们巧妙地伪装成正常的HTML代码，绕过了我之前简单的HTML过滤机制。
这让我意识到，仅仅依靠简单的字符串替换或者正则表达式来过滤HTML代码是远远不够的。我需要一个更加安全可靠的解决方案，能够有效地去除恶意代码，同时保留正常的HTML格式。这时，我找到了Mews/Purifier这个Laravel包。
Mews/Purifier是一个基于HTML Purifier库的Laravel服务提供者，它能够轻松地在Laravel项目中使用HTML Purifier强大的HTML过滤功能。HTML Purifier是一个标准兼容的HTML过滤器库，它不仅能够移除所有恶意代码（XSS），还能确保你的文档符合标准。
安装Mews/Purifier非常简单，只需要使用Composer：
立即学习“前端免费学习笔记（深入）”；
composer require mews/purifier
对于Laravel 5.5及以上版本，服务提供者会自动发现，无需手动注册。对于更早的版本，需要在config/app.php文件中注册服务提供者和别名。
接下来，就可以在你的代码中使用Purifier门面或clean()辅助函数来净化HTML代码了：
use Purifier;$cleanHtml = Purifier::clean($userInput);// 或者$cleanHtml = clean($userInput);
Mews/Purifier还允许你自定义配置，例如设置允许的HTML标签、CSS属性等等。你可以通过发布配置文件来修改默认设置：
php artisan vendor:publish --provider="Mews\Purifier\PurifierServiceProvider"
这将会在config/purifier.php中生成一个配置文件，你可以根据需要修改其中的参数。 例如，你可以自定义允许的HTML标签，以满足你的特定需求。 这让我能够精确地控制允许哪些HTML标签和属性，有效地防止恶意代码的注入，同时保持评论内容的可读性和格式。
此外，Laravel 7+ 版本还支持 Eloquent 模型的自定义转换，这使得在模型层直接净化HTML变得非常方便：
use Mews\Purifier\Casts\CleanHtml;// ... 模型定义 ...protected $casts = [ 'comment' => CleanHtml::class,];
通过使用Mews/Purifier，我成功地解决了网站上的XSS漏洞问题。现在，用户提交的评论内容经过净化后，不会再包含任何恶意代码，网站的安全性得到了显著提高。 而且，Mews/Purifier 使用起来非常简单，大大减少了我的开发时间。
总而言之，Mews/Purifier是一个功能强大、易于使用且高效的HTML净化工具，强烈推荐给所有Laravel开发者。 它不仅提升了网站安全性，也简化了HTML处理流程。 如果你还在为HTML安全问题而苦恼，不妨试试Mews/Purifier，相信它能给你带来惊喜。 顺便一提，学习Composer的更多技巧，可以参考这个在线学习地址：学习地址。
