Symfony HtmlSanitizer无法保留img的src属性问题求助

你配置的HtmlSanitizer整体功能正常，但img的src属性仍被过滤，大概率是URL安全验证的问题，以下是几个关键排查和解决方向：

• 检查URL协议限制
  Symfony HtmlSanitizer默认仅允许http、https、ftp等有限的安全协议。如果你的图片路径使用了file://、data:（base64图片）或者自定义协议，必须手动添加允许的协议：

$config = (new HtmlSanitizerConfig())
    // 保留原有配置...
    ->allowUrlProtocols('http', 'https', 'data', 'file'); // 根据实际需求添加协议

• 验证相对链接的合法性
  虽然你调用了allowRelativeLinks()，但如果相对链接包含../等可能跨目录的路径，或者格式不符合规则（比如开头是//的协议相对链接），仍可能被过滤。可以测试一个简单的相对路径标签，确认是否正常：

$testHtml = '<img src="/static/img/test.png" alt="测试图">';
var_dump($postSanitizer->sanitize($testHtml));

如果这个测试正常，说明你实际使用的src存在协议或路径格式问题。

• 确认配置的优先级
  确保allowSafeElements($allowedElements)确实包含了img标签（你的代码里已经包含），且没有后续配置覆盖了img的属性权限。比如不要在之后调用disallowAttribute('src', 'img')这类方法。

• 调试过滤过程
  将待过滤的HTML和过滤后的结果打印出来，对比差异，定位是所有src都被移除还是特定src被移除，这能快速缩小问题范围。

修改后的完整配置示例（添加协议允许）：

require_once '../../project_core/vendor/autoload.php';

use Symfony\Component\HtmlSanitizer\HtmlSanitizer;
use Symfony\Component\HtmlSanitizer\HtmlSanitizerConfig;

// Allowed HTML elements and attributes
$allowedElements = array(
'div', 'p', 'br', 'strong', 'i', 'button', 'code', 'pre', 'em', 'a', 'ul', 'ol', 'li', 
'h1', 'h2', 'h3', 'h4', 'h5', 'h6', 'img', 'table', 'tr', 'td', 'th', 'thead', 'tbody', 
'tfoot', 'hr', 'span'
);

$config = (new HtmlSanitizerConfig())
     ->allowSafeElements($allowedElements)
     ->allowRelativeLinks()
     ->allowUrlProtocols('http', 'https', 'data', 'file') // 新增协议允许
     ->allowAttribute('href', 'a')
     ->allowAttribute('title', '*')
     ->allowAttribute('target', 'a')
     ->allowAttribute('src', 'img')
     ->allowAttribute('alt', 'img')
     ->allowAttribute('style', '*')
     ->allowAttribute('class', '*')
     ->allowAttribute('id', '*')
     ->allowAttribute('width', 'img')
     ->allowAttribute('height', 'img')
     ->allowAttribute('border', 'img')
     ->allowAttribute('cellspacing', 'table')
     ->allowAttribute('cellpadding', 'table')
     ->allowAttribute('colspan', 'td')
     ->allowAttribute('rowspan', 'td')
     ->allowAttribute('scope', 'th')
     ->allowAttribute('align', 'table', 'td', 'th')
     ->allowAttribute('valign', 'td', 'th')
     ->allowAttribute('lang', '*')
     ->allowAttribute('dir', '*')
     ->allowAttribute('type', '*')   
     ->allowAttribute('value', '*')
     ->allowAttribute('name', '*')
     ->allowAttribute('placeholder', '*')
     ->allowAttribute('onclick', '*');

$postSanitizer = new HtmlSanitizer($config);

内容的提问来源于stack exchange，提问作者J. Hines