strip_tags()是否容易受到脚本攻击？

是否有已知的XSS或其他攻击使其超过了

$content = "some HTML code";
$content = strip_tags($content);

echo $content;

？

该手册有一个警告:

此函数不会修改允许使用allowable_tags的标记上的任何属性,包括恶意用户在发布将向其他用户显示的文本时可能滥用的样式和onmouseover属性.

但这与allowable_tags仅使用参数有关.

没有设置允许的标签,是否strip_tags()容易受到任何攻击？

Chris Shiflett似乎说这是安全的:

使用成熟解决方案

尽可能使用成熟的现有解决方案,而不是尝试创建自己的解决方案.像strip_tags()和htmlentities()这样的函数是不错的选择.

它是否正确？请尽可能引用来源.

我知道HTML净化器,htmlspecialchars()等.我不是在寻找消毒HTML的最佳方法.我只想知道这个具体问题.这是想出了一个理论性的问题在这里.

参考:strip_tags()PHP源代码中的实现

顾名思义,strip_tags应删除所有HTML标记.我们可以证明它的唯一方法是分析源代码.下一个分析适用于strip_tags('...')呼叫,没有白名单标记的第二个参数.

首先,关于HTML标签的一些理论:标签以后<跟非空白字符开头.如果此字符串以a开头?,则不应对其进行解析.如果此字符串以a开头!--,则将其视为注释,并且不应解析以下文本.注释终止于-->,在这样的注释中,允许使用<和之类的字符>.属性可以出现在标签中,它们的值可以选择性地用引号字符('或")包围.如果存在这样的引用,则必须将其关闭,否则如果>遇到a,则不关闭该标记.

该代码text在Firefox中解释为:

text

PHP函数strip_tags在ext/standard/string.c的第4036行中引用.该函数调用内部函数php_strip_tags_ex.

存在两个缓冲区,一个用于输出,另一个用于"内部HTML标记".名为的计数器depth包含开角括号(<)的数量.
变量in_q包含引号字符('或")(如果有),0否则.最后一个字符存储在变量中lc.

这些函数有五种状态,在函数上面的描述中提到了三种.基于此信息和函数体,可以导出以下状态:

状态0是输出状态(不在任何标记中)

状态1表示我们在普通的html标记内(标记缓冲区包含<)

状态2表示我们在php标记内

状态3:我们来自输出状态并遇到了<和!字符(标签缓冲区包含)

echo '
'.strip_tags($foo).'
'

echo '';

<script>alert('ciao');</script>