PHP过滤HTML标签、属性等正则表达式汇总

在开发网页或者Web应用的过程中，往往需要对用户提交的数据进行过滤和清理，以防止恶意脚本或病毒的注入，从而保证网站的安全性和稳定性。其中最常见的情况就是过滤HTML标签和属性。本文将介绍PHP中常用的过滤HTML标签、属性等的正则表达式汇总。

过滤HTML标签

PHP中可以使用正则表达式函数preg_replace()来过滤HTML标签，将用户输入的HTML标签转换为纯文本。示例代码如下：

$html = "<p>这是一段包含HTML标签的文本。</p><script>alert('注入')</script>";
$text = preg_replace("/<[^>]+>/", "", $html);
echo $text;  // 输出: 这是一段包含HTML标签的文本。alert('注入')

在上述代码中，preg_replace()函数使用了正则表达式/<[^>]+>/来匹配HTML标签，其中<表示标签的起始位置，[^>]+表示非>字符的重复1次或1次以上，即匹配标签中间的所有字符。而>则表示标签的结束位置。

过滤HTML标签和属性

有些情况下，我们需要过滤不仅是标签，还包括标签中的属性。可以使用下面的示例代码来实现：

$html = "<p style='color:red;'>这是一段包含HTML标签和属性的文本。</p><script>alert('注入')</script>";
$text = preg_replace("/<[^>]+>/", "", strip_tags($html, "<p>"));
echo $text;  // 输出: <p>这是一段包含HTML标签和属性的文本。</p>

在上述代码中，strip_tags()函数用来过滤HTML标签和属性，第二个参数中<p>表示<p>标签不被过滤。

过滤HTML标签、属性和转义字符

有时HTML标签中会包含转义字符，比如<script>alert('\<\/script\>')</script>。如果不进行转义，就有可能被认为是正常的HTML标签，从而造成安全问题。可以使用下面的示例代码来实现：

$html = "<p style='color:red;'>这是一段包含HTML标签、属性和转义字符的文本。\<script>alert('注入')</script></p>";
$text = preg_replace("/<[^>]+>/", "", htmlentities(strip_tags($html, "<p>"), ENT_QUOTES, 'UTF-8'));
echo $text;  // 输出: 这是一段包含HTML标签、属性和转义字符的文本。alert('注入')

在上述代码中，htmlentities()函数用来将HTML标签中的转义字符进行转义，ENT_QUOTES参数表示对单引号和双引号进行转义，防止注入攻击。

以上就是PHP过滤HTML标签、属性等的常用正则表达式汇总。通过采用上述方法，可以有效地避免XSS攻击等安全问题，保证网站的安全性和稳定性。