为何HTMLPurifier处理后Script未执行？技术求助

嘿，兄弟，这可不是什么bug，完全是HTMLPurifier刻意设计的核心安全特性！它存在的最大意义就是帮你拦截XSS（跨站脚本攻击）风险，而<script>标签这类能执行任意代码的内容，正是它首要过滤的目标。

具体原因可以拆成这几点来看：

• 基于白名单的严格过滤：HTMLPurifier采用的是「白名单机制」——只有它预先认定为“安全”的HTML标签、属性才能通过过滤。<script>、<iframe>、<embed>这类能触发代码执行或引入外部资源的标签，直接被归为危险内容，要么被彻底移除，要么被转义成纯文本字符。比如你输入<script>alert('test')</script>，它会把标签转换成<script>alert('test')</script>，浏览器看到这些转义后的字符，只会当成普通文本渲染，根本不会解析成可执行的脚本。
• 智能解析而非简单替换：别想着用大小写混淆（比如<ScRiPt>）、添加额外属性（比如<script type="text/javascript">）这类小伎俩绕过它——HTMLPurifier会完整解析整个HTML结构，不管你怎么变形，它都能识别出危险的脚本节点并处理掉，不是靠简单的字符串匹配来过滤的。
• 默认配置的安全性优先：HTMLPurifier的默认配置已经拉满了安全阈值，如果你没有特意修改它的规则（比如手动把<script>加入白名单），它绝对不会放行任何脚本代码。而且就算你想改，官方也强烈不建议这么做——这直接违背了它的安全设计初衷，会把你的网站暴露在极高的XSS风险里。

举个实际的例子，假设你输入这段内容：

<p>这是一段测试内容 <script>console.log('我要执行！')</script></p>

经过HTMLPurifier处理后，输出大概率会变成这样：

<p>这是一段测试内容 </p>

或者是保留转义后的文本：

<p>这是一段测试内容 &lt;script&gt;console.log('我要执行！')&lt;/script&gt;</p>

不管哪种情况，浏览器都只会显示纯文本，根本不会执行里面的脚本。

如果你的场景确实需要允许某些特定的可信脚本，那你得先充分评估安全风险，再通过自定义HTMLPurifier的配置规则来实现，但一定要慎之又慎——随便放行脚本等于给攻击者开了后门。

内容的提问来源于stack exchange，提问作者Jordan Georgiadis