Laravel 5.7中如何限制用户仅使用指定HTML标签提交内容

针对你在Laravel 5.7文章提交应用里限制textarea仅允许特定HTML标签的需求，最佳方案是客户端实时过滤+服务端安全兜底的组合方式——客户端能给用户即时反馈，提升体验；服务端则是必须的安全防线，毕竟前端验证很容易被禁用或绕过。

一、客户端实时过滤（提升用户体验） #

这里用原生JavaScript实现实时过滤，不需要额外依赖，适配你用的Bootstrap 4表单。核心思路是监听textarea的输入事件，解析用户输入的HTML，移除不允许的标签并保留内容。

假设你的textarea的id是article-content，代码如下：

// 定义允许的HTML标签，根据你的需求调整
const allowedTags = ['h1', 'h2', 'h3', 'h4', 'h5', 'h6', 'ul', 'ol', 'li', 'p', 'strong', 'em'];

// 监听textarea输入事件
document.getElementById('article-content').addEventListener('input', function(e) {
    const inputContent = e.target.value;
    const parser = new DOMParser();
    const doc = parser.parseFromString(inputContent, 'text/html');
    const allElements = doc.body.querySelectorAll('*');

    // 遍历所有元素，移除不允许的标签
    allElements.forEach(element => {
        const tagName = element.tagName.toLowerCase();
        if (!allowedTags.includes(tagName)) {
            // 保留标签内的文本/子元素，移除当前标签
            const parent = element.parentNode;
            while (element.firstChild) {
                parent.insertBefore(element.firstChild, element);
            }
            parent.removeChild(element);
        }
    });

    // 将过滤后的内容放回textarea
    e.target.value = doc.body.innerHTML;
});

这段代码会在用户输入时自动清理掉不允许的标签，用户能实时看到效果，避免提交后才发现问题。

二、服务端安全过滤（核心防线） #

前端过滤只是体验优化，真正的安全保障必须在服务端实现。这里提供两种常用方案：

方案1：使用Laravel自带的strip_tags函数 #

strip_tags是PHP原生函数，Laravel中可以直接使用，它能移除指定标签外的所有HTML标签，用法简单：

在你的文章提交控制器的store方法中添加过滤逻辑：

public function store(Request $request)
{
    // 先验证表单字段
    $validatedData = $request->validate([
        'content' => 'required|string',
        // 其他字段的验证规则，比如标题、复选框等
        'title' => 'required|string|max:255',
        'status' => 'required|boolean'
    ]);

    // 定义允许的HTML标签，注意标签要写完整（比如<h1>）
    $allowedHtmlTags = '<h1><h2><h3><h4><h5><h6><ul><ol><li><p><strong><em>';

    // 过滤内容
    $filteredContent = strip_tags($validatedData['content'], $allowedHtmlTags);

    // 创建文章记录
    \App\Article::create([
        'title' => $validatedData['title'],
        'content' => $filteredContent,
        'status' => $validatedData['status'],
        // 其他字段赋值
    ]);

    return redirect()->back()->with('success', '文章提交成功！');
}

方案2：使用HTMLPurifier（更强大的HTML过滤） #

如果需要更精细的控制（比如允许特定标签的某些属性，比如<a>标签的href），推荐使用mews/purifier包，它是HTMLPurifier的Laravel封装，功能更完善。

1. 首先安装包：

composer require mews/purifier

2. 发布配置文件：

php artisan vendor:publish --provider="Mews\Purifier\PurifierServiceProvider"

3. 在config/purifier.php中配置允许的标签，找到settings数组，修改default配置：

'default' => [
    'HTML.Allowed' => 'h1,h2,h3,h4,h5,h6,ul,ol,li,p,strong,em',
    // 其他配置保持默认即可
],

4. 在控制器中使用：

use Mews\Purifier\Facades\Purifier;

public function store(Request $request)
{
    $validatedData = $request->validate([
        'content' => 'required|string',
        'title' => 'required|string|max:255',
        'status' => 'required|boolean'
    ]);

    // 用Purifier过滤内容
    $filteredContent = Purifier::clean($validatedData['content']);

    \App\Article::create([
        'title' => $validatedData['title'],
        'content' => $filteredContent,
        'status' => $validatedData['status'],
    ]);

    return redirect()->back()->with('success', '文章提交成功！');
}

注意事项 #

• 永远不要只依赖前端过滤：用户可以禁用JS或者直接构造POST请求绕过前端验证，服务端过滤是必须的。
• 根据你的实际需求调整allowedTags数组，比如如果需要允许<blockquote>或者<a>标签，直接添加到列表即可。

内容的提问来源于stack exchange，提问作者rajender sohi