Блог

У меня есть форма, в которой пользователь может опубликовать глобальное уведомление в системе (для просмотра другими пользователями).
Система выводит HTML непосредственно из базы данных (когда пользователь хочет увидеть уведомление).
Я бы хотел, чтобы некоторые теги html оставались нетронутыми, а к остальным применялись htmlspecialchars().
Я уже пытался применить

  str_replace($search, $replace, htmlspecialchars($str))
  

стратегия, но, похоже, она действительно медленная. На самом деле слишком медленно. А также это небезопасно, что всегда будет работать, есть ли альтернатива для этого?
Я хотел что-то, что выполняло бы работу strip_tags (), за исключением того, что вместо чередования тегов оно применяло бы htmlspecialchars к недопустимым тегам.

ДОБАВЬТЕ (отредактируйте) информацию (по запросу):

$ str может быть любого размера, который вы можете придумать. Я подумал об использовании большой строки (1 М символов (генерируется случайным образом с некоторыми разрешенными и некоторыми запрещенными тегами внутри. У всех тегов были атрибуты) по причине тестирования одного из наихудших сценариев с логикой: если это работает так, это должно работать для более простых случаев.
Серверу потребовалось 5 секунд, чтобы обработать полный str_replace (с htmlspecialchars). Этот тест был выполнен на моем компьютере с процессором 2 ГГц и оперативной памятью DDR3.
оба $ search и $ replace имеют в общей сложности 7 замен. Тем не менее, они не всегда работают. В некоторых случаях $search выдает ложные срабатывания или ложноотрицательные значения.
Чтобы уточнить, я применяю эти изменения при сохранении в БД, а не при извлечении из БД.

Вы могли бы попробовать этот код (должен быть улучшен):

 function callback(array $matches) {
    return htmlspecialchars_decode($matches[0]);
}
$str = 'some <i>string</i> <b>with</b> tags '
     . '<a href="#">some link</a> '
     . '<img alt="" src="http://sstatic.net/stackoverflow/img/favicon.ico"/><hr/>';
$str = htmlspecialchars($str);
$str = preg_replace_callback('#(amp;<(i|a)(?: . ?)?amp;>.*?amp;</(1)amp;>|amp;<(?:img)(?: .*?)?/amp;>)#', 'callback', $str);
echo $str;
  

Регулярное выражение ищет (должно искать) 2 типа строк:

• <tag attributes>content</tag> с tag частью, являющейся той же для открытия закрывающего тега, и attributes и content являющейся необязательной
• <tag attributes/> , при этом attributes это необязательно

Теги перечислены в (i|a) части для <tag></tag> типов тегов и (?:img) для <tag/> типов тегов.

Если он находит соответствующие теги, он передает содержимое callback() функции, которая преобразует его обратно с помощью htmlspecialchars_decode() . Это необходимо для декодирования кавычек и других закодированных символов в списке атрибутов.

Я не уверен, работает ли это во всех случаях, т. Е. Соответствует ли оно всем необходимым тегам. Если это работает в целом, то шаблон и callback() функцию следует улучшить так, чтобы они callback() декодировали только < , > символы и список атрибутов; содержимое тегов (т.Е. some link часть в <a href='#'>some link</a> ) не должно декодироваться.

str_replace наряду с htmlspecialchars НЕ является медленным.

Вероятно, у вас есть какое-то узкое место где-то еще.