Funkcja bezpiecznego czyszczenia XSS (regularnie aktualizowana)

Od kilku dni poluję wokół sieci, próbując to rozgryźć, ale otrzymuję sprzeczne odpowiedzi.

Czy istnieje Biblioteka, klasa lub funkcja PHP, która bezpiecznie dezynfekuje / koduje łańcuch znaków przeciwko XSS? Musi być regularnie aktualizowany, aby przeciwdziałać nowym atakom.

Mam kilka przypadków użycia:

Przypadek użycia 1) mam pole tekstowe, powiedzmy dla imienia lub nazwiska

• użytkownik wprowadza tekst do pola i przesyła formularz
• zanim to zostanie zapisane do bazy danych chcę a) przyciąć wszelkie białe spacje z przodu i koniec łańcucha i b) usuwa wszystkie znaczniki HTML z wejścia. To pole tekstowe nazwy, nie powinny mieć w nim żadnego HTML.
• następnie zapiszę to w bazie danych z przygotowanymi deklaracjami PDO.

Myślę, że mógłbym po prostu zrobić trim() i strip_tags() następnie użyć filtru dezynfekcji lub RegEx z białą listą znaków. Czy naprawdę potrzebują postacie jak ! i ? lub < > w ich imieniu, nie bardzo.

Przypadek użycia 2) podczas wyprowadzania zawartości z wcześniej zapisanego rekordu bazy danych (lub z wcześniej przesłanego formularza) do widoku/HTML chcę dokładnie wyczyścić go dla XSS. NB: Może, ale nie musi, przejść przez etap filtrowania w przypadku użycia 1, ponieważ może to być inny typ wejścia, więc załóżmy, że nie przeprowadzono dezynfekcji.

Początkowo myślałem, że HTMLPurifier zrobi to, ale wygląda na to, że to jest nie to, czego potrzebuję, gdy zadałem pytanie ich poparciu:

Oto Test lakmusa: jeśli użytkownik zgłosi <b>foo</b> powinien pokazać się jako <b>foo</b>lub foo? Jeśli ten pierwszy, nie potrzebujesz HTML Purifier.

Więc wolałbym, aby wyświetlał się jako <b>foo</b>, ponieważ nie chcę, aby wyświetlany był żaden HTML dla prostego pola tekstowego ani żadnego JavaScript.

Więc szukałem funkcji, która zrobi to wszystko za mnie. I natknąłem się na metodę xss_clean używaną przez Kohana 3.0, która zgaduję, że działa, ale tylko jeśli chcesz zachować HTML. Jest teraz przestarzały z Kohana 3.1, ponieważ zastąpiono go HTMLPurifier. Więc zgaduję, że powinieneś zrobić HTML::chars() zamiast tego, co robi tylko ten kod :

public static function chars($value, $double_encode = TRUE)
{
    return htmlspecialchars( (string) $value, ENT_QUOTES, Kohana::$charset, $double_encode);
}

Teraz najwyraźniej powinieneś używać htmlentities zamiast jak wspomniano w całkiem kilku miejscach w Stack Overflow , ponieważ jest bezpieczniejszy niż htmlspecialchars.

• więc jak używać htmlentities właściwie?
To wszystko, czego potrzebuję?
• w jaki sposób chroni on przed wysyłaniem wartości zakodowanych hex, decimal i base64 z ataków wymienionych tutaj ?

Teraz widzę, że trzecim parametrem dla metody htmlentities jest charset używany w konwersji. Teraz moja strona / db jest w UTF-8, ale być może formularz przesłane dane nie był UTF-8 zakodowane, może przesłane ASCII lub HEX więc może trzeba najpierw przekonwertować na UTF-8? Oznaczałoby to jakiś kod w stylu:

$encoding = mb_detect_encoding($input);
$input = mb_convert_encoding($input, 'UTF-8', $encoding);
$input = htmlentities($input, ENT_QUOTES, 'UTF-8');

Jeśli istnieje jakaś Biblioteka lub framework PHP o otwartym kodzie źródłowym, które potrafią poprawnie chronić XSS, to chciałbym zobaczyć jak to robią w kodzie.

Każda pomoc bardzo doceniana, przepraszam za długi post!