HTML Purifier 在净化过程中会自动转义特殊字符（如 & → &）并统一使用 UTF-8 表示非 ASCII 字符，导致直接比对原始与净化后字符串无法准确识别“真实替换”。推荐启用 Core.CollectErrors 配置获取结构化变更记录，而非依赖文本差异比对。
html purifier 在净化过程中会自动转义特殊字符（如 `& → &`）并统一使用 utf-8 表示非 ascii 字符，导致直接比对原始与净化后字符串无法准确识别“真实替换”。推荐启用 `core.collecterrors` 配置获取结构化变更记录，而非依赖文本差异比对。
HTML Purifier 的设计目标是安全优先，而非内容保真。这意味着即使输入 HTML 本身是合法且无害的，Purifier 仍可能对其做语义等价但形式不同的转换：例如将 & 强制转为 &（防止后续解析歧义），或将 ø 解码为原生 UTF-8 字符 ø（因其内部统一以 UTF-8 处理）。这类转换并非“错误”，而是安全模型的必然结果——因此，简单地用 strcmp() 或 diff() 比较净化前后字符串，会淹没真正关键的过滤行为（如标签删除、属性剥离、危险脚本移除等）。
要精准追踪实际被修改/移除的内容，应避免文本级比对，转而使用 Purifier 内置的错误收集机制：
✅ 正确做法：启用 Core.CollectErrors
该配置会捕获所有净化过程中的结构性变更（包括元素删除、属性过滤、实体规范化等），并以结构化数组形式返回，完全规避编码转换带来的干扰。
use HTMLPurifier;
use HTMLPurifier_Config;
$config = HTMLPurifier_Config::createDefault();
$config->set('Core.CollectErrors', true); // 启用错误/变更收集
$config->set('HTML.Allowed', 'p,b,i,a[href]'); // 示例白名单
$purifier = new HTMLPurifier($config);
$dirtyHtml = '<p>Hello & <a href="javascript:alert(1)">click</a> ø</p>';
$cleanHtml = $purifier->purify($dirtyHtml);
// 获取变更日志
$errorCollector = $purifier->context->get('ErrorCollector');
$errors = $errorCollector->getRaw(); // 返回关联数组，含类型、行号、消息等
foreach ($errors as $error) {
echo sprintf("[%s] %s\n", $error['type'], $error['message']);
}
// 输出示例：
// [RemovedElement] Script block removed
// [AttrValueTruncated] Attribute value truncated for 'href'⚠️ 注意事项
- Core.CollectErrors 是稳定特性，尽管文档中标注为“实验性”，但在生产环境长期验证可靠；
- 它不记录纯编码转换（如 & → &），这正是你所需——只关注安全相关的实质性变更；
- 若仍需保留实体表示（如强制 ø → ø），可配合 Core.EscapeNonASCIICharacters = true，但通常不推荐，因会增加冗余且无助于安全审计；
- 日志中 type 字段明确区分变更类型（RemovedElement, RemovedAttr, BadChild, AttrValueTruncated 等），便于分类告警或审计。
总结
HTML Purifier 的字符处理逻辑服务于安全目标，不可也不应被绕过。与其对抗其编码行为，不如拥抱其设计哲学：使用 Core.CollectErrors 获取精准、语义化的净化日志，既提升可观测性，又确保日志反映真实风险点。这是构建可信内容净化流水线的专业实践。
立即学习“前端免费学习笔记（深入）”；
