阐述 `wp_strip_all_tags()` 函数的源码，它是如何安全地移除所有 HTML 和 PHP 标签的？ - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

咳咳，各位观众，各位大爷，晚上好！今天咱们聊点啥呢？聊聊WordPress里一个不起眼，但是关键时刻能救你狗命的函数：wp_strip_all_tags()。别看它名字长，其实功能很简单，就是把所有HTML和PHP标签都给扒光。听起来很简单？呵呵，要是真那么简单，我今天就不用站在这里吹牛皮了。

咱们的目标是：知其然，更要知其所以然。不仅要会用，还要知道它是怎么实现的，这样以后遇到奇奇怪怪的问题，才能做到心中不慌，手中有粮。

一、扒光衣服前的准备工作：函数声明与基本功能

首先，咱们看看wp_strip_all_tags()的庐山真面目：

function wp_strip_all_tags( $string, $remove_breaks = false ) {
    $string = preg_replace( '@<(script|style)[^>]*?>.*?</(script|style)>@si', '', $string );
    $string = strip_tags( $string );

    if ( $remove_breaks ) {
        $string = preg_replace( '/[rnt ]+/', ' ', $string );
        $string = trim( $string );
    }

    return $string;
}

哇哦，好简单！简单到让人怀疑人生。但是，麻雀虽小，五脏俱全。咱们一步一步拆解它。

函数声明: function wp_strip_all_tags( $string, $remove_breaks = false )
- $string: 这是你要扒衣服的字符串，也就是包含HTML标签的文本。
- $remove_breaks: 这是一个可选参数，默认是false。如果设置为true，它会移除换行符、制表符和多余的空格，让文本更加紧凑。
基本功能: 这个函数主要做了三件事：
1. 移除 <script> 和 <style> 标签以及它们之间的内容。
2. 使用 strip_tags() 函数移除所有剩余的HTML标签。
3. (可选) 移除换行符、制表符和多余的空格。

二、正则表达式的诱惑：精准打击 <script> 和 <style>

为什么先要用正则表达式移除 <script> 和 <style> 标签呢？直接用 strip_tags() 不行吗？

答案是：不行！

strip_tags() 只能移除HTML标签，但是它无法正确处理嵌套的标签。如果你的字符串里有类似这样的代码：

<div>
  <script>
    <div>Some JavaScript code</div>
  </script>
</div>

strip_tags() 会把 <div> 标签也给移除，因为它会把 <script> 标签内部的 <div> 误认为是HTML标签。这可不是我们想要的！

所以，我们需要用正则表达式来精确地移除 <script> 和 <style> 标签以及它们之间的所有内容，确保不会误伤其他标签。

咱们来仔细看看这个正则表达式：

@<(script|style)[^>]*?>.*?</(script|style)>@si

@: 正则表达式的分隔符，可以是任何非字母数字或反斜杠的字符。这里用@只是为了好看。
<: 匹配左尖括号。
(script|style): 匹配 script 或 style 标签。 | 表示“或”。
[^>]*?>: 匹配标签的属性。 [^>] 表示匹配除了 > 之外的任何字符。 *? 表示非贪婪匹配，尽可能少地匹配字符。为什么要用非贪婪匹配？因为我们只想匹配到最近的 >。
.*?: 匹配标签之间的内容，也就是 <script> 或 <style> 标签里的JavaScript或CSS代码。同样使用非贪婪匹配。
</(script|style)>: 匹配闭合的 </script> 或 </style> 标签。
s: s 修正符，表示点号 . 可以匹配换行符。这很重要，因为 <script> 或 <style> 标签里的代码可能包含换行符。
i: i 修正符，表示忽略大小写。这样可以同时匹配 <script> 和 <SCRIPT> 标签。

这个正则表达式就像一个精准的狙击手，专门瞄准 <script> 和 <style> 标签，一枪毙命，不留情面。

三、 strip_tags() 的温柔一刀：移除剩余的HTML标签

干掉了 <script> 和 <style> 这两个难缠的家伙之后，剩下的HTML标签就不足为惧了。我们可以放心地使用 strip_tags() 函数来移除它们。

strip_tags() 函数是PHP内置的函数，它的功能非常简单：移除字符串中的HTML和PHP标签。

$string = strip_tags( $string );

虽然 strip_tags() 功能简单，但是也有一些需要注意的地方：

它只能移除HTML标签，不能移除标签之间的内容。 例如，如果你的字符串是 "<div>Hello World</div>"，strip_tags() 会把它变成 "Hello World"。
默认情况下，它允许以下标签： <a>, <abbr>, <acronym>, <b>, <big>, <blockquote>, <br>, <caption>, <cite>, <code>, <dd>, <del>, <dfn>, <em>, <i>, <kbd>, <q>, <s>, <samp>, <small>, <span>, <strong>, <sub>, <sup>, <tt>, <u>, <var>. 你可以通过第二个参数来指定允许的标签。就像这样： strip_tags($string, '<p><a><b>')
它不会移除HTML实体。 例如，" " 不会被移除。

四、清理战场：移除换行符和多余的空格

有些时候，我们不仅要移除HTML标签，还要把字符串里的换行符、制表符和多余的空格也给移除掉，让文本更加干净整洁。这时候，$remove_breaks 参数就派上用场了。

如果 $remove_breaks 为 true，wp_strip_all_tags() 会执行以下代码：

$string = preg_replace( '/[rnt ]+/', ' ', $string );
$string = trim( $string );

preg_replace( '/[rnt ]+/', ' ', $string ): 这个正则表达式会把所有的换行符 (r 和 n)、制表符 (t) 和空格 (`) 替换成一个空格。+` 表示匹配一个或多个。
trim( $string ): 这个函数会移除字符串开头和结尾的空格。

通过这两个步骤，我们就可以把字符串里的换行符、制表符和多余的空格都给清理干净了。

五、实例演示：眼见为实，耳听为虚

光说不练假把式，咱们来几个例子，看看 wp_strip_all_tags() 的实际效果。

原始字符串	`wp_strip_all_tags()` 的结果	`wp_strip_all_tags($string, true)` 的结果
`"<div>Hello <script>alert('World');</script></div>"`	`"Hello "`	`"Hello"`
`"<div>Hello <style>body { color: red; }</style>World</div>"`	`"Hello World"`	`"Hello World"`
`"<div>Hello<br>World</div>"`	`"Hello<br>World"`	`"Hello<br>World"`
`"<div>Hello<br>World</div>"`	`"Hello<br>World"`	`"Hello<br>World"`
`" Hello World n"`	`" Hello World n"`	`"Hello World"`
`"<div>Hello   World</div>"`	`"Hello   World"`	`"Hello   World"`
`"<div>Hello <p>World</p></div>"`	`"Hello World"`	`"Hello World"`
`"<div>Hello <a>World</a></div>"`	`"Hello World"`	`"Hello World"`

从上面的例子可以看出，wp_strip_all_tags() 可以有效地移除HTML和PHP标签，并且可以根据需要移除换行符和多余的空格。

六、安全性考量：防范XSS攻击

为什么要移除HTML标签？一个很重要的原因是为了防范XSS攻击。

XSS（Cross-Site Scripting）攻击是一种常见的Web安全漏洞。攻击者通过在网页中注入恶意脚本，当用户访问该网页时，恶意脚本会在用户的浏览器中执行，从而窃取用户的敏感信息或者篡改网页内容。

例如，如果你的网站允许用户提交评论，并且没有对用户提交的内容进行任何过滤，那么攻击者就可以在评论中注入恶意脚本：

<script>alert('You have been hacked!');</script>

当其他用户访问包含这条评论的网页时，浏览器就会执行这段恶意脚本，弹出一个警告框。这只是一个简单的例子，攻击者可以利用XSS攻击做更多的事情，例如窃取用户的Cookie、重定向用户到恶意网站等等。

为了防范XSS攻击，我们需要对用户提交的内容进行过滤，移除其中的HTML标签和恶意脚本。 wp_strip_all_tags() 就是一个非常有用的工具。

七、总结与展望：扒光衣服，安全第一

wp_strip_all_tags() 是一个简单而强大的函数，它可以有效地移除HTML和PHP标签，防范XSS攻击，让我们的网站更加安全。

它首先使用正则表达式移除 <script> 和 <style> 标签以及它们之间的内容，防止 strip_tags() 误伤其他标签。
然后使用 strip_tags() 函数移除所有剩余的HTML标签。
最后，根据需要移除换行符、制表符和多余的空格。

虽然 wp_strip_all_tags() 可以有效地移除HTML标签，但是它并不是万能的。在某些情况下，我们可能需要使用更复杂的过滤规则，例如使用HTML Purifier等专业的HTML过滤库。

但是，对于大多数情况来说，wp_strip_all_tags() 已经足够用了。记住，安全无小事，防患于未然。

好了，今天的讲座就到这里。感谢各位的收听！希望大家以后在使用 wp_strip_all_tags() 的时候，能够更加得心应手，游刃有余。下次再见！

发表回复 取消回复

发表回复取消回复