strip_tags()是否处理​​嵌入式标记

时间:2011-12-21 05:34:35

标签: php xss sanitization strip-tags

我已远离安装了PHP的计算机,并想知道strip_tags()的结果将出现在以下文本中: “< scr< h1> ipt> alert('oh oh')< / scr< / h1> ipt>”

它会回归: “< script> alert('oh oh')< / script>” (即不承认通过删除明显的标签,它暴露了一个新的标签) 要么 “警告('哦哦')

我知道如果它返回第一个案例,我可以重复调用该函数,直到我把它放出来,但我很好奇。

提前致谢。

2 个答案:

答案 0 :(得分:0)

很棒的问题。

不,它不会从该字符串中删除任何内容:

<?php
$b = "ipt>alert('oh oh')ipt>";
echo strip_tags($b);
?>

输出是原始字符串:ipt>alert('oh oh')ipt>

修改

在第二种情况下,它会打印alert('oh oh'),因此它会在一步中剥离所有

答案 1 :(得分:0)

它只返回:

alert('oh oh')