Удалить теги в PHP со списком разрешенных, но удалить все атрибуты

Регулярное выражение может привести к сбою, если атрибут имеет > в качестве значения атрибута.

Более безопасным способом было бы использовать DomDocumment, но учтите, что входные данные должны быть действительными HTML, а выходные данные могут быть стандартизированы.

<?php

$htmlString = '<span>777</span><div class = "hello">hello <b id = "12">world</b></div>';
$stripped = strip_tags($htmlString, '<div><b>');

$dom = new DOMDocument;              // init new DOMDocument
$dom->loadHTML($stripped);           // load the HTML
$xpath = new DOMXPath($dom);
$nodes = $xpath->query('//@*');
foreach ($nodes as $node) {
    $node->parentNode->removeAttribute($node->nodeName);
}

$cleanHtmlString = '';
foreach ($dom->documentElement->firstChild->childNodes as $node) {
    $cleanHtmlString .= $dom->saveHTML($node);
}

echo $cleanHtmlString;

Выход:

<p>777</p>
<div>hello <b>world</b>
</div>

Прежде всего, strip_tags не предотвращает XXS-атаки, поэтому с точки зрения безопасности я бы не рекомендовал его, см. здесь.

Однако вот пример решения, которое я предложил в комментариях. Хитрость заключается в том, чтобы использовать специальный символ для экранирования разрешенных тегов. Это простое решение: вы можете просто использовать strip_tags.

$string = '<b class = "hello">Hello, </b><a>world!</a>';

$allowed = array(

    'b' => chr(1) . 'b_open',
    '/b' => chr(1) . 'b_close',
    'i' => chr(1) . 'i_open',
    '/i' => chr(1) . 'i_close',

);

// Remove your special character from the input to prevent it from being injected

$result = str_replace(chr(1), '', $string);

// Escape the valid tags

foreach ($allowed as $tag => $replacement) {

    $result = preg_replace('/<' . str_replace('/', '\/', $tag) . '([^>]*?)>/i', $replacement, $result);

}

// Call strip_tags

$result = strip_tags($result);

// Replace back

foreach ($allowed as $tag => $replacement) {

    $result = str_replace($replacement, '<' . $tag . '>', $result);

}

echo($result);