使用 HTML Purifier 处理 MathML 的方法

本文探讨了在 PHP HTML Purifier 中处理 MathML 内容的挑战和可能的解决方案。由于 HTML Purifier 自身对 MathML 没有原生支持，因此需要额外的配置和处理。本文将分析直接添加 MathML 标签到允许列表的局限性，并提供利用自定义扩展或参考现有但不维护的补丁的思路，帮助开发者在保证安全性的前提下，集成 MathML 支持。

PHP HTML Purifier 是一个强大的 HTML 过滤库，旨在防止 XSS 攻击并确保输出的 HTML 代码符合标准。然而，它并没有原生支持 MathML，这意味着直接使用 HTML.Allowed 选项添加 MathML 标签并不能达到预期的效果。

为什么简单地添加标签到 HTML.Allowed 不起作用？

HTML Purifier 的核心优势在于它对 HTML 结构的深入理解。它不仅检查标签是否存在于允许列表中，还会验证标签的使用上下文、允许出现的属性以及属性值的类型。例如，width 属性应该接受整数值，而 style 属性则需要进行 CSS 净化，onclick 属性则被视为不安全。

立即学习“前端免费学习笔记（深入）”；

如果 HTML Purifier 对某个标签一无所知，即使将其添加到允许列表，它也无法正确处理该标签。它不知道如何解析、验证和净化该标签及其属性，从而导致安全风险或意外的输出结果。

可能的解决方案

由于原生支持的缺失，集成 MathML 需要一些额外的工作。以下是一些可能的方案：

1. 自定义扩展：

   这是最安全但也是最复杂的方法。你需要使用 HTML Purifier 的 自定义指南 来定义新的 MathML 标签和属性。

   • 步骤：

     • 研究 MathML 规范，了解所有相关的标签和属性。
     • 创建自定义的 HTML Purifier 定义，为每个 MathML 标签指定允许的属性、属性类型和上下文。
     • 确保对属性值进行适当的净化，以防止 XSS 攻击。

   • 示例（伪代码）：

     

     PaperFake

     AI写论文

     下载

     $config = HTMLPurifier_Config::createDefault();
     $def = $config->getHTMLDefinition(true);
     
     // 添加 <math> 标签
     $def->addElement('math', 'Block', 'Flow', 'Common');
     
     // 添加 <mrow> 标签
     $def->addElement('mrow', 'Inline', 'Inline', 'Common');
     
     // 添加 <mi> 标签
     $def->addElement('mi', 'Inline', 'Inline', 'Common');
     
     // 添加 <mn> 标签
     $def->addElement('mn', 'Inline', 'Inline', 'Common');
     
     // 为 <math> 标签添加属性
     $def->addAttribute('math', 'display', 'Enum#inline,block');
     
     // ... 添加其他标签和属性 ...
     
     $purifier = new HTMLPurifier($config);
     $clean_html = $purifier->purify($dirty_html);

   • 注意事项：

     • 这需要深入了解 HTML Purifier 的内部机制和 MathML 规范。
     • 务必进行彻底的安全审查，以防止引入新的漏洞。

2. 参考现有补丁（谨慎）：

   虽然存在一个旧的 MathML 补丁 (https://www.php.cn/link/b4315f87bc8e2180eb73465d8f5a5cd5)，但它已经过时且未经维护。

   • 风险：

     • 该补丁可能包含安全漏洞。
     • 它可能与最新版本的 HTML Purifier 不兼容。
     • 你需要花费大量精力来更新和维护它。

   • 建议：

     • 只有在对 HTML Purifier 和 MathML 有深入了解的情况下才考虑使用此方法。
     • 在使用前进行彻底的安全审计和测试。
     • 准备好投入大量时间来修复和维护该补丁。

总结

在 HTML Purifier 中处理 MathML 是一项具有挑战性的任务。由于缺乏原生支持，你需要付出额外的努力才能实现所需的功能。最安全的方法是使用自定义扩展，但这需要深入了解 HTML Purifier 和 MathML。参考现有的补丁可能是一个更快的解决方案，但它也带来了安全风险和维护成本。在选择解决方案时，请权衡利弊并确保充分了解潜在的风险。

安全注意事项：

无论选择哪种方法，安全性都应该是首要考虑因素。务必对 MathML 代码进行彻底的净化，以防止 XSS 攻击。避免使用不安全的属性，例如 onclick，并确保所有属性值都符合预期的类型和格式。

最终建议：

如果你的应用程序对 MathML 的需求不高，可以考虑使用其他更适合处理 MathML 的库，或者在客户端进行 MathML 的渲染。这可以避免在服务器端引入额外的复杂性和安全风险。