使用HTMLPurifier剥离script标签时如何保留全部CSS样式？

可以通过调整配置实现仅清理HTML恶意内容、同时完整保留原有视觉样式的需求，具体配置方案如下：

核心配置思路 #

• 放开CSS属性的默认白名单限制，允许所有合法CSS规则
• 仅将script等存在注入风险的HTML标签加入禁止列表，不限制正常展示类标签
• 保留style等和样式相关的HTML属性
• 依赖HTMLPurifier自带的恶意内容拦截逻辑，自动过滤CSS/HTML中的注入风险（比如expression动态表达式、javascript伪协议等）

参考配置代码（PHP环境） #

// 加载HTMLPurifier后初始化默认配置
$config = HTMLPurifier_Config::createDefault();

// 核心配置：取消CSS属性的白名单校验，允许所有CSS属性
$config->set('CSS.AllowedProperties', null);
// 允许CSS中的!important声明
$config->set('CSS.AllowImportant', true);
// 允许position、z-index、float等默认被归为"tricky"的特殊CSS属性
$config->set('CSS.AllowTricky', true);
// 允许CSS自定义变量、厂商前缀属性
$config->set('CSS.AllowVendorPrefixes', true);

// 仅禁用高风险HTML标签，保留所有正常展示类标签
$config->set('HTML.ForbiddenElements', ['script', 'iframe', 'object', 'embed', 'form', 'input', 'button']);
// 允许所有元素的style属性，以及其他常用样式相关属性
$config->set('HTML.AllowedAttributes', ['*.style', '*.id', '*.class', '*.width', '*.height', '*.align', '*.color', '*.bgcolor']);

// 初始化净化器处理原始内容
$purifier = new HTMLPurifier($config);
$safeHtml = $purifier->purify($原始HTML内容);

注意事项 #

• 如果需要保留<style>标签内的全局样式，需要额外开启$config->set('Filter.ExtractStyleBlocks', true)，该配置会把抽离出的样式内容单独返回，你可以自行拼接回最终HTML的头部位置。
• 放开CSS属性限制后，HTMLPurifier仍然会自动拦截CSS中的恶意内容，不会引入额外的注入风险。
• 如果存在特殊的自定义属性需要保留，可以自行调整HTML.AllowedAttributes的配置列表。

内容的提问来源于stack exchange，提问作者grunet