本文旨在探讨在 PHP HTML Purifier 中启用 MathML 的方法。由于 HTML Purifier 默认不支持 MathML，因此需要采用一些技巧来实现这一目标。本文将介绍目前可行的方案，并分析其优缺点，帮助读者选择最适合自身需求的方案。
HTML Purifier 是一个强大的 HTML 过滤库，用于防止 XSS 攻击。然而，它默认情况下并不支持 MathML。这意味着直接将 MathML 标签添加到 HTML.Allowed 配置项中并不能使其正常工作。这是因为 HTML Purifier 的核心在于理解 HTML 标签的上下文、允许出现的位置以及属性的限制。对于未知的标签，即使添加到允许列表中，HTML Purifier 也无法正确处理。
目前可行的方案：
-
重用现有的 Pull Request (不推荐):
立即学习“前端免费学习笔记（深入）”；
HTML Purifier 曾经有一个关于 MathML 的 Pull Request，但已经过时。虽然可以尝试修改并重新利用它，但这需要大量的手动工作，并且可能存在安全风险。
- 优点: 理论上，如果能成功应用，可能提供更完整的 MathML 支持。
- 缺点: 需要大量的开发工作，难以维护，且存在潜在的安全风险。
-
使用自定义配置 (推荐):
通过 HTML Purifier 的自定义配置指南，将 MathML 标签和属性作为新的标签和属性添加到 HTML Purifier 中。
- 优点: 可控性高，可以根据需要添加特定的 MathML 标签和属性。
- 缺点: 需要较多的配置工作，需要对 MathML 规范有一定了解。
自定义配置的实现步骤：
以下是一个简单的示例，展示如何通过自定义配置添加 <math> 和 <mrow> 标签：
<?php
require_once 'HTMLPurifier.auto.php';
$config = HTMLPurifier_Config::createDefault();
// 允许 MathML 标签
$config->set('HTML.Allowed', 'math[xmlns],mrow');
// 允许 xmlns 属性
$config->set('Attr.AllowedClasses', array('xmlns'));
// 定义 xmlns 的验证器 (可选，但强烈建议)
$def = $config->getHTMLDefinition(true);
$def->addAttribute('math', 'xmlns', 'URI');
$purifier = new HTMLPurifier($config);
$dirty_html = '<math xmlns="http://www.w3.org/1998/Math/MathML"><mrow><mn>1</mn><mo>+</mo><mn>1</mn></mrow></math>';
$clean_html = $purifier->purify($dirty_html);
echo "原始 HTML: " . $dirty_html . "\n";
echo "清理后的 HTML: " . $clean_html . "\n";
?>代码解释：
- $config->set('HTML.Allowed', 'math[xmlns],mrow');：这行代码允许 <math> 和 <mrow> 标签，并允许 <math> 标签具有 xmlns 属性。
- $config->set('Attr.AllowedClasses', array('xmlns'));：这行代码允许全局使用 xmlns 属性。
- $def = $config->getHTMLDefinition(true);：获取 HTML 定义对象。
- $def->addAttribute('math', 'xmlns', 'URI');：为 <math> 标签的 xmlns 属性定义验证器，确保其值为有效的 URI。这对于安全性至关重要。
- $purifier->purify($dirty_html);：使用配置好的 HTML Purifier 清理 HTML 代码。
注意事项：
- 安全性： 在添加 MathML 标签和属性时，务必仔细考虑安全性。确保对所有属性进行适当的验证，以防止 XSS 攻击。特别是对于类似 style 这样的属性，需要进行 CSS 过滤。
- MathML 规范： 要正确配置 HTML Purifier，需要对 MathML 规范有一定的了解。查阅 MathML 文档，了解每个标签和属性的用途和限制。
- 逐步添加： 建议逐步添加 MathML 标签和属性，并进行测试，以确保配置正确。
- 测试： 在生产环境中使用之前，务必对配置进行充分的测试。
总结：
虽然 HTML Purifier 默认不支持 MathML，但通过自定义配置，可以将其添加到 HTML Purifier 中。然而，这需要仔细的配置和安全考虑。建议仔细阅读 HTML Purifier 的自定义配置指南，并根据自身需求选择最合适的方案。 记住，安全永远是第一位的。
