Configurație tipică $allowed pentru wp_kses

Aș începe cu același array $allowedtags pe care WordPress îl folosește pentru comentarii. Puteți găsi acest array în fișierul [directorul wordpress]/wp-includes/kses.php. Acestea par a fi setări implicite rezonabile și un punct de plecare bun. Iată array-ul lor...

$allowedtags = array(
    'a' => array(
        'href' => true,
        'title' => true,
    ),
    'abbr' => array(
        'title' => true,
    ),
    'acronym' => array(
        'title' => true,
    ),
    'b' => array(),
    'blockquote' => array(
        'cite' => true,
    ),
    'cite' => array(),
    'code' => array(),
    'del' => array(
        'datetime' => true,
    ),
    'em' => array(),
    'i' => array(),
    'q' => array(
        'cite' => true,
    ),
    'strike' => array(),
    'strong' => array(),
);

Eu NU aș folosi funcția PHP strip_tags ca înlocuitor pentru wp_kses.

Nu ar trebui să folosești niciodată strip_tags pentru a filtra conținutul de la un utilizator necunoscut!

Am creat un videoclip rapid care explică De ce wp_kses() din WordPress este mai bun decât strip_tags() din PHP pentru securitate.

Iată. Acest lucru funcționează atât în WordPress, cât și în afara acestuia.

<?php

$str = '     I am <strong>stronger</strong> and cooler every single day <aaaaa>.    ';
echo orbisius_html_util::strip_tags($str);

/**
 * Clasă utilitară pentru HTML
 * @author Svetoslav Marinov (SLAVI) | http://orbisius.com
 */
class orbisius_html_util {
    /**
     * Folosește wp_kses din WordPress pentru a curăța unele tag-uri HTML dar permite unele atribute
     * utilizare: orbisius_html_util::strip_tags($str);
     * folosește wp_kses() din WordPress
     * @param str $buffer string buffer
     * @return str text curățat
     */
    public static function strip_tags($buffer) {
        static $default_attribs = array(
            'id' => array(),
            'class' => array(),
            'title' => array(),
            'style' => array(),
            'data' => array(),
            'data-mce-id' => array(),
            'data-mce-style' => array(),
            'data-mce-bogus' => array(),
        );

        $allowed_tags = array(
            'div'           => $default_attribs,
            'span'          => $default_attribs,
            'p'             => $default_attribs,
            'a'             => array_merge( $default_attribs, array(
                'href' => array(),
                'target' => array('_blank', '_top'),
            ) ),
            'u'             =>  $default_attribs,
            'i'             =>  $default_attribs,
            'q'             =>  $default_attribs,
            'b'             =>  $default_attribs,
            'ul'            => $default_attribs,
            'ol'            => $default_attribs,
            'li'            => $default_attribs,
            'br'            => $default_attribs,
            'hr'            => $default_attribs,
            'strong'        => $default_attribs,
            'blockquote'    => $default_attribs,
            'del'           => $default_attribs,
            'strike'        => $default_attribs,
            'em'            => $default_attribs,
            'code'          => $default_attribs,
        );

        if (function_exists('wp_kses')) { // WP este prezent
            $buffer = wp_kses($buffer, $allowed_tags);
        } else {
            $tags = array();

            foreach (array_keys($allowed_tags) as $tag) {
                $tags[] = "<$tag>";
            }

            $buffer = strip_tags($buffer, join('', $tags));
        }

        $buffer = trim($buffer);

        return $buffer;
    }
}

Am folosit wp_kses doar atunci când am avut nevoie în mod specific să permit/filtrez atributele tag-urilor HTML (de exemplu, vreau să permit doar tag-ul <image> cu atributul src="", dar nu vreau să permită atributul href="" sau style="" sau orice altceva pe tag-ul de imagine). În acest caz, wp_kses este util pentru că (după cum poți vedea în exemplul tău) poți filtra foarte specific. Totuși, am folosit rar wp_kses pentru că consider că câteva funcții PHP native (menționate mai jos) își fac treaba și sunt mai ușor de înțeles când revizuiesc codul după câteva luni.

Dacă vrei să elimini complet tag-urile HTML (cu excepția câtorva permise), atunci mereu folosesc strip_tags. Poți transmite un șir de caractere cu tag-uri permise (cum ar fi <p> <br> <strong>) sau orice alte tag-uri inofensive. Acest lucru permite utilizatorului să aibă un anumit control asupra formatării, dacă acest lucru este relevant pentru cazul tău de utilizare. Îmi place strip_tags pentru că adoptă o abordare de tip whitelist la sanitizarea datelor. (Adică totul este eliminat, cu excepția a ceea ce ai permis în mod explicit).

Dacă scopul tău este să le permiți să introducă orice HTML în conținut, dar vrei doar să afișezi textul așa cum l-au introdus (ca în cazul exemplelor de cod), atunci folosește htmlspecialchars. Aceasta va converti caracterele HTML în omoloagele lor codate, astfel încât să le poți afișa în siguranță pe pagină.

Poate întâlni cod care folosește str_replace pentru a „căuta” tag-uri rele cum ar fi <script> sau altele. Nu recomand această abordare pentru că adoptă o metodă de tip blacklist la sanitizarea datelor și trebuie să te asiguri constant că lista ta de elemente interzise este actualizată.

Ca să rezum, depinde de ce folosești metabox-urile. Dacă vrei să te protejezi împotriva intrărilor utilizatorilor (care ar putea fi rău intenționați), recomand strip_tags și să permiți doar câteva tag-uri inofensive. Dacă ai un motiv întemeiat să controlezi în detaliu tag-urile și atributele specifice ale conținutului utilizatorului, folosește wp_kses.

De asemenea, poți folosi funcția wp_kses_post care este utilizată pentru conținutul postărilor și necesită doar datele ca parametru.

Mai multe informații aici: http://codex.wordpress.org/Function_Reference/wp_kses_post

@Svetoslav Marinov

Am adăugat acest cod imediat după $buffer = trim($buffer);

    $string_limpa = array(
                '<div><p><\/div>' => '<br>',
                '<div><br><\/div>'=> '<br>',
                '<div align="left"><br><\/div>' => '<br>',
                '<div align="center"><br><\/div>' => '<br>',
                '<div align="right"><br><\/div>' => '<br>',
                '<div style="text-align: left;"><br><\/div>' => '<br>',
                '<div style="text-align: center;"><br><\/div>' => '<br>',
                '<div style="text-align: right;"><br><\/div>' => '<br>',
                '<div style="text-align: justify;"><br><\/div>' => '<br>',
                'class="Apple-style-span"' => '<br>',
                '<p><br></p>' => '<br>',
                '<p><b></p>' => '<br>',
                '<p><i></p>' => '<br>',
                '<p><u></p>' => '<br>',
                '\r' => '<br>',
                '\n' => '<br>',
                '\t' => ' ',
                '\0' => ' ',
                '\x0B' => '<br>',
                '<p style="text-align: center;"><br></p>' => '<br>'
            );
    return strtr($buffer, $string_limpa);

pentru a încerca să curăț HTML-ul și să evit caracterele ascunse copiate care strică codul, dar nu funcționează, curăță HTML-ul, dar caracterele ascunse rămân.