PHP 8.1 不处理拖拽动作本身，XSS 风险源于用户拖拽粘贴的恶意 HTML/JS 内容未转义输出；应禁用 FILTER_SANITIZE_STRING，坚持输入不清洗、输出按上下文转义、富文本用 HTMLPurifier 白名单净化。
PHP 8.1 本身不处理“拖拽文字”这个前端交互行为，XSS 风险也不来自拖拽动作本身，而来自用户**通过拖拽粘贴进表单的恶意 HTML/JS 内容**，最终被未转义地输出到页面。关键不是防拖拽，而是防粘贴进来的不可信富文本被错误渲染。处理逻辑和 PHP 8.1 的变化高度一致：输入不清洗、输出按上下文转义、富文本必须白名单净化。
拖拽粘贴内容本质是普通用户输入
用户拖拽一段网页文字（含隐藏标签）再粘贴到 <textarea> 或 <div contenteditable> 中，浏览器可能带入 <span style="color:red">、<a href="javascript:alert(1)"> 等片段。PHP 接收到的只是字符串，和 POST 提交的普通文本无异。PHP 8.1 已废弃 FILTER_SANITIZE_STRING，更强调“不预处理原始数据”，所以不要用 strip_tags() 或 filter_var(..., FILTER_SANITIZE_*) 主动清理粘贴内容——它会破坏合法格式（如用户想保留 & 符号），且无法防御属性中的 onerror、javascript: 等绕过方式。
输出时严格区分上下文，拒绝“一刀切”
粘贴内容最终怎么展示，决定了用哪个函数：
-
纯文本展示（如评论摘要、标题）：用
htmlspecialchars($input, ENT_QUOTES | ENT_HTML5, 'UTF-8')。确保单双引号、尖括号全转义，且指定 UTF-8 防多字节截断。 -
插入 HTML 属性（如
<div title="<?php echo $pasted; ?>">）：同样用htmlspecialchars()，但必须用引号包裹属性值；若漏掉引号（如title=<?php echo $pasted; ?>），再转义也无效。 -
嵌入内联 JavaScript（如
var desc = "<?php echo $pasted; ?>";）：绝对不用htmlspecialchars()！改用json_encode($pasted, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_QUOT)，防止 、&、Unicode 行分隔符等触发解析异常。 -
作为 URL 参数拼接（如
<a href="/search?q=<?php echo urlencode($pasted); ?>">）：只用urlencode()，不是htmlspecialchars(urlencode(...))—— URL 编码和 HTML 转义是两套独立机制。
允许富文本？必须用 HTMLPurifier 白名单
如果业务真需保留粘贴进来的 <b>、<img> 等标签（如后台编辑器），strip_tags($input, '<b><i><p>') 不够安全：它不检查 <img src=x onerror=alert(1)> 或 <a href="javascript:...">。PHP 8.1 更推荐使用专业库：HTMLPurifier。它基于白名单策略，可精确控制允许哪些标签、属性、协议（如只允 href 以 http:// 或 / 开头），彻底剥离危险内容。
立即学习“PHP免费学习笔记（深入）”；
示例配置：
$config = HTMLPurifier_Config::createDefault();
$config->set('HTML.Allowed', 'p,b,i,a[href],img[src|alt],br');
$config->set('Attr.AllowedFrameTargets', ['_blank']);
$config->set('URI.SafeIframeRegexp', '%^(https?:)?//(www\.youtube\.com/embed/|player\.vimeo\.com/video/)%');
$purifier = new HTMLPurifier($config);
$clean_html = $purifier->purify($_POST['content']); // 安全输出到页面
补充：前端可做轻量级预过滤（非替代后端）
虽然后端是最后一道防线，但可在前端粘贴时简单拦截明显恶意片段（如含 <script>、onerror=、javascript:），提升用户体验。例如：
document.querySelector('textarea').addEventListener('paste', function(e) {
const text = (e.clipboardData || window.clipboardData).getData('text');
if (/<(script|iframe)|on\w+=|javascript:/i.test(text)) {
e.preventDefault();
alert('检测到潜在危险内容，已自动过滤');
}
});
注意：这仅作友好提示，绝不能代替后端验证与转义——前端可被禁用或绕过。
