论坛开发：禁止<script>标签却允许<i>标签生效的实现疑问

这个场景太常见了——既要防XSS攻击，又要让用户能使用少量格式化标签，我来给你两个靠谱的解决方案：

方案1：先全量转义，再恢复允许的标签 #

这是最直接的轻量方案，适合只允许少数几个标签的情况。思路是先把所有HTML字符都转义成实体（这样<script>之类的恶意标签就变成了<script>，不会被浏览器执行），然后再把你允许的<i>和</i>实体转回真实标签。

示例代码（PHP）：

// 假设用户提交的内容存在$_POST['post_content']里
$rawContent = $_POST['post_content'];

// 第一步：转义所有HTML特殊字符，确保恶意代码被中和
$escapedContent = htmlspecialchars($rawContent, ENT_QUOTES, 'UTF-8');

// 第二步：把允许的<i>标签从实体转回正常HTML
$safeContent = str_replace(
    ['&lt;i&gt;', '&lt;/i&gt;'],
    ['<i>', '</i>'],
    $escapedContent
);

// 输出到页面
echo $safeContent;

这个方法的好处是简单可控，完全规避了XSS风险——因为所有潜在危险的标签都已经被转义，只有你明确放行的标签会被恢复。如果以后要加<b>这类标签，直接在str_replace里加对应的替换规则就行。

方案2：使用HTML Purifier（专业级方案） #

如果你的论坛以后可能需要支持更多格式化标签（比如<b>、<u>、<blockquote>），或者要处理更复杂的内容（比如用户输入不闭合的标签、带属性的标签），那HTML Purifier是更稳妥的选择。它是一个专门用来过滤和净化HTML的库，会严格按照你配置的规则保留安全内容，过滤掉所有恶意或不允许的代码。

使用示例：

// 先引入HTML Purifier的自动加载文件
require_once '/path/to/HTMLPurifier.auto.php';

// 创建配置对象，设置允许的标签
$config = HTMLPurifier_Config::createDefault();
$config->set('HTML.Allowed', 'i'); // 只允许<i>标签，如果要加其他标签可以用逗号分隔，比如'i,b'

// 初始化净化器
$purifier = new HTMLPurifier($config);

// 净化用户输入内容
$rawContent = $_POST['post_content'];
$safeContent = $purifier->purify($rawContent);

// 输出到页面
echo $safeContent;

这个方案的优势是健壮性极强，能处理各种边缘情况，比如用户输入<i style="color:red">文本</i>，你可以通过配置决定是否允许style属性，完全可控。

重要提醒 #

千万别自己写正则表达式来过滤HTML！HTML的结构太复杂了，正则很容易被绕过（比如用户输入<scr<script>ipt>alert('xss')</script>），反而留下安全漏洞。上面两种方法都是经过验证的安全方案，优先选择。

内容的提问来源于stack exchange，提问作者WIverson97