HTMLPurifier действительно такой пуленепробиваемый?

Question

Я видел платформу Kohana, позволяющую пользователям по желанию использовать HTMLPurifier против любых возможных атак XSS.

Я думал, что HTMLPurifier предназначен для разрешения стандартного вывода HTML.

Это помогает избежать атак XSS на 100% или, возможно, в значительной степени? Или вы предложите что-то еще.

Спасибо

Answer 1

Что касается любой возможной части программного обеспечения, она не может быть идеальной, и всегда существует риск, что кто-то где-нибудь однажды сможет найти дыру в безопасности и использовать ее.

Так что никто не скажет вам: "Это поможет избежать атак XSS на 100%"...

Но каждый раз, когда я возглавлял HTMLPurifier, это было великолепно - и я несколько раз успешно использовал его, и буду использовать его снова для некоторых будущих проектов.

Итак, я думаю, что "вероятно, в значительной степени" ваш ответ;-)