如何清理Meta Box内容防范XSS攻击？异常HTML场景求解

你遇到的核心问题是未闭合的HTML标签破坏了结构解析，导致wp_kses_post()这类依赖规范HTML的过滤工具失效。以下是可行的解决步骤：

方法一：先修复标签结构，再过滤 #

1. 用balanceTags()补全未闭合标签
   WordPress的balanceTags()可以自动平衡HTML标签，补全缺失的闭合部分。注意要传入第二个参数true，允许自闭合标签（比如<img />）：

   $raw_content = '<img src=x onerror=console.log(hey)<img src="x" />';
   // 先修复标签结构
   $fixed_content = balanceTags($raw_content, true);
   // 再进行安全过滤
   $sanitized_content = wp_kses_post($fixed_content);
   

   修复后，原本未闭合的<img>会被补全，wp_kses_post()就能正常识别并过滤掉恶意的onerror属性。

2. 验证结果
   处理后的内容会保留合法的<img src="x" />，同时移除包含onerror的恶意标签或属性。

方法二：用DOMDocument强制修复HTML结构（更可靠） #

如果balanceTags()效果不理想，可借助PHP的DOMDocument来强制规范HTML结构，再进行过滤：

function sanitize_malformed_html($content) {
    $dom = new DOMDocument();
    // 关闭XML错误提示，避免不规范HTML触发警告
    libxml_use_internal_errors(true);
    // 加载内容时指定编码，同时避免自动添加<html><body>标签
    $dom->loadHTML('<?xml encoding="UTF-8">' . $content, LIBXML_HTML_NOIMPLIED | LIBXML_HTML_NODEFDTD);
    libxml_clear_errors();
    
    // 将修复后的HTML转回字符串
    $fixed_content = $dom->saveHTML();
    
    // 执行安全过滤
    return wp_kses_post($fixed_content);
}

// 使用示例
$raw_content = '<img src=x onerror=console.log(hey)<img src="x" />';
$sanitized_content = sanitize_malformed_html($raw_content);

DOMDocument会自动补全所有未闭合的标签，让wp_kses_post()能正确解析并过滤恶意代码。

为什么之前的方法无效？ #

• wp_kses_post()：需要规范的HTML结构才能识别标签和属性，未闭合的标签会导致它无法正确解析恶意代码。
• balanceTags()：如果未传入第二个参数true，可能不会正确处理自闭合标签，导致修复不彻底。
• sanitize_text_field()：会直接剥离所有HTML标签，不符合保留合法HTML的需求。

内容的提问来源于stack exchange，提问作者Patrick