HTML 代码过滤是一种技术，用于清理和过滤用户输入的 HTML 内容，以确保它不会带来潜在的安全风险、破坏网站布局、或者不符合网站规则。通常，它用于防止恶意代码（如 跨站脚本攻击，简称 XSS）通过用户输入传入网页。
主要目的
安全性：防止恶意代码注入，比如 JavaScript 脚本，避免攻击者通过网站执行恶意操作（如盗取 cookies、窃取敏感信息等）。
数据清理：确保用户提交的数据格式符合预期，移除无用或不允许的 HTML 标签。
增强用户体验：通过控制可以使用的 HTML 标签和属性，避免不符合设计的 HTML 代码影响网页显示。
常见问题
跨站脚本攻击（XSS）：攻击者可能通过在表单输入中插入恶意的 <script> 标签，将脚本注入到网页中，窃取用户数据或进行其他恶意操作。
格式不规范的 HTML：用户可能提交不符合规范或多余的 HTML 标签，影响网页的显示效果或引发渲染问题。
过滤过程
去除危险的标签和属性：过滤掉所有可能导致安全漏洞的标签和属性，比如 <script>、<iframe> 等。
只允许特定标签和属性：如果用户需要输入某些 HTML 内容，可以设置规则，只允许如 <b>, <i>, <a> 等安全标签。
转义字符：将用户输入中的特殊字符（如 <、>、&）转义成 HTML 实体（如 <, >, &），避免被解析为 HTML。
常见的 HTML 代码过滤技术
白名单（Allowlist）过滤：只允许特定的标签和属性，所有其他标签都被去除。例如，允许 <b>, <i> 和 <a> 标签，但禁止 <script> 标签。
黑名单（Blocklist）过滤：根据危险标签和属性的列表进行过滤，禁止常见的攻击性标签（如 <script>, <iframe> 等）。
DOM Sanitization（DOM 清理）：对用户输入的 HTML 进行解析，删除或替换潜在危险的代码。
正则表达式：使用正则表达式匹配并去除或替换不安全的标签或属性，尽管这种方法可能不够精确。
示例
不安全的 HTML（XSS 示例）
用户输入：
html
<p>Hello! <script>alert('XSS attack');</script></p>
如果没有过滤，这段代码会在页面上执行 JavaScript 脚本，导致跨站脚本攻击。
安全的 HTML 过滤
使用过滤器后，<script> 标签会被移除或转义为字符串，从而避免执行恶意脚本：
html
<p>Hello! <script>alert('XSS attack');</script></p>
如何实现 HTML 代码过滤
后端过滤：你可以在后端（例如用 PHP、Python 等）对用户输入的 HTML 进行过滤和清理，确保传入数据库或前端的内容是安全的。
前端过滤：可以在浏览器端使用 JavaScript 进行初步过滤，减少恶意内容的提交，但最好还是依赖后端的严格过滤。
常用的 HTML 过滤库：
Python：Bleach、html模块。
JavaScript：DOMParser、sanitize-html库。
总的来说，HTML 代码过滤是确保网页安全和数据合规的重要步骤，特别是在允许用户输入 HTML 的场景下。