php 过滤富文本如何只保留文字？一个简单函数就能搞定

发布日期： 2025-10-06 阅读量： 作者： admin

这几天在捣鼓网站后台，碰到个挺常见的问题，就是用户提交的内容里头，可能会带各种乱七八糟的 HTML 代码，也就是富文本。直接显示，怕有安全风险，比如 XSS 攻击啥的；全去掉，用户想要加粗、换行啥的格式又没了，体验不所以就得想办法过滤一下。

一开始我的想法很简单。

我就想着，PHP 不是有个现成的函数叫 `strip_tags` 嘛直接拿来用，把所有 HTML 标签全扒掉。试了一下，确实干净了，所有标签都没了，只剩下纯文本。但问题也来了，像我刚才说的，用户想加个粗体强调一下，或者搞个列表，这么一过滤，格式全丢了，只剩下一堆文字挤在一起，看着费劲。

接着我又琢磨了一下。

我想起来 `strip_tags` 可以加第二个参数，指定允许保留哪些标签。比如，我只想让用户用加粗 `` 和段落 `

`，那就可以写成 `strip_tags($userInput, '

')`。这样试了试，效果好多了，基本的格式能保留下来。但是，心里还是有点不踏实。万一用户在允许的标签里加了恶意的属性，比如 `` 这种，`strip_tags` 默认好像不会管标签里的属性，这还是有风险。

然后我就去网上搜了搜，看看大家都是怎么搞的。

有人说用正则表达式。这个我也想过，用正则确实灵活，想怎么匹配都行。但写正则挺费脑子的，特别是要考虑各种嵌套、属性、不规范写法的情况，很容易就写出个有漏洞的规则，或者漏掉某些情况。对自己写的正则没太大信心，怕过滤不干净，反而留下后门。

找到一个靠谱的方案。

搜来搜去，发现很多人推荐用一个专门处理这种事情的库，叫 HTML Purifier。看介绍说，这玩意儿就是专门为了清理和过滤 HTML 而生的，特别注重安全。它不光能让你配置允许哪些 HTML 标签，还能让你配置允许哪些属性，甚至能检查属性的值是不是合规矩，比如 CSS 样式是不是安全的等等。它还能帮你修复一些不太规范的 HTML 写法，让输出的代码更标准。

我就把它装上试了试。配置稍微比直接用函数麻烦一点点，要先设置一个配置对象，告诉它允许哪些标签（比如 `
`, ``, `
`, `
`），允许哪些属性（比如 `` 标签的 `href` 属性，但默认会帮你过滤掉 `javascript:` 这种伪协议）。

先定义好规则，比如允许哪些基本的格式标签。

然后把用户提交的脏 HTML 丢给它处理。

拿到它处理过的干净又安全的 HTML。

结果是真香。

用了 HTML Purifier 之后，过滤效果确实它把我配置里不允许的标签、属性全都干掉了，而且对于允许的标签，也做了严格的检查。比如像前面担心的 `onclick` 这种危险属性，直接就被过滤掉了。输出的 HTML 既保留了我想要的格式，又非常安全。虽然需要额外引入一个库，但相比自己写正则或者用 `strip_tags` 提心吊胆，这方案靠谱多了。

这回实践下来，处理富文本过滤这事儿，还是用专门的库省心又安全。折腾了一圈，总算把这块搞定了。

上一篇

二级域名如何注册？看完这篇你就全明白了！

下一篇

暂无

随便看看

天津做公司网站怎么选？靠谱建站公司推荐给您！ 发布日期： 2025-03-18

想在六安做网站？这几家六安网站建设公司不错！ 发布日期： 2025-03-29

南京设计建设网站公司怎么选？这几个标准帮你避坑！ 发布日期： 2025-03-25

网址优化网站步骤是什么？新手也能快速上手！ 发布日期： 2025-03-20

昌平专业网站建设公司，多年经验值得信赖！ 发布日期： 2025-03-26