本文探讨了在PHP HTML Purifier中集成MathML的可能性。由于HTML Purifier本身并不原生支持MathML，因此直接添加标签到`HTML.Allowed`并不能有效实现MathML的解析和安全过滤。文章分析了现有方案的局限性，并提供了两种可行的但需要大量手动工作的替代方案：重用旧的Pull Request或通过自定义配置添加MathML标签和属性。强调了安全性和完整理解MathML规范的重要性。
HTML Purifier是一款强大的HTML过滤库，用于防止XSS攻击，确保用户提交的内容安全可靠。然而，它并非默认支持所有HTML特性，MathML就是一个例子。MathML（Mathematical Markup Language）是一种用于在Web页面上显示数学公式的标记语言。如果需要在HTML Purifier中使用MathML，需要进行额外的配置。
直接将MathML标签添加到HTML.Allowed配置项中，并不能达到预期的效果。HTML Purifier的强大之处在于它理解HTML标签的上下文，知道哪些标签允许出现在哪些位置，以及对属性的限制。例如，width属性需要整数值，style属性需要经过安全过滤的CSS，而onclick属性则默认是不安全的。如果HTML Purifier不了解某个标签，即使将其添加到允许列表中，它也不会处理该标签，因为它不知道如何正确处理。
替代方案：
立即学习“PHP免费学习笔记（深入）”；
虽然没有简单的方法在HTML Purifier中启用MathML，但以下两种方法可以作为替代方案，但需要投入大量精力：
-
重用旧的Pull Request：
HTML Purifier有一个旧的Pull Request，尝试添加MathML支持。虽然这个Pull Request已经过时，但可以尝试重新利用它。然而，由于时间久远，需要进行大量的修改和调整才能使其与当前版本的HTML Purifier兼容。你可以参考这里。
-
自定义配置添加MathML标签和属性：
可以使用HTML Purifier的自定义指南来将MathML标签和属性作为新的标签和属性添加到HTML Purifier中。这种方法需要更多的工作，但可以更精确地控制MathML的解析和过滤。
这种方法需要详细了解MathML的规范，并为每个MathML标签和属性定义相应的规则。例如，需要指定哪些属性是允许的，属性的值应该是什么类型，以及如何安全地处理这些属性。
注意事项：
在处理MathML时，安全性是首要考虑因素。MathML规范非常复杂，容易出现安全漏洞。因此，在添加MathML支持时，务必仔细审查代码，确保没有任何安全风险。
在HTML Purifier的邮件列表中也有相关的讨论：
The primary consideration is security. When adding a very big new extension like MathML, it is very tempting to cut corners, and not truly understand every corner of the specification and build a parser that truly understands what it reads, and isn't just checking syntax blindly.
这意味着，在添加MathML支持时，不能仅仅盲目地检查语法，而需要真正理解MathML规范的每个细节，并构建一个能够真正理解它所读取的内容的解析器。
总结：
在PHP HTML Purifier中启用MathML并非易事，需要投入大量的时间和精力。由于HTML Purifier本身不原生支持MathML，因此需要采用替代方案，例如重用旧的Pull Request或通过自定义配置添加MathML标签和属性。无论选择哪种方法，都需要密切关注安全性，并确保对MathML规范有深入的了解。在没有充分理解MathML规范的情况下，不要轻易尝试添加MathML支持，以免引入安全漏洞。
