Как удалить атрибуты style и script в WordPress для улучшения безопасности и производительности

Автор: Дарья Николаева | Опубликовано: 25.11.2025

В WordPress часто возникает необходимость контролировать и очищать HTML-код, который выводится в постах, страницах или виджетах. Особенно это касается атрибутов style и script, которые могут создавать угрозы безопасности или негативно влиять на производительность сайта.

Почему важно удалять атрибуты style и script в WordPress

Атрибуты style позволяют внедрять CSS прямо в HTML-элементы, а script — запускать JavaScript. Если эти атрибуты позволяют редакторы или плагины без контроля, это может привести к XSS-уязвимостям, нарушению дизайна или конфликтам с основными стилями и скриптами сайта.

Удаление или ограничение этих атрибутов помогает:

Повысить безопасность сайта, исключая вредоносный код.
Улучшить производительность за счет снижения объема инлайновых стилей и скриптов.
Обеспечить консистентность дизайна и поведения элементов.

В этой статье подробно рассмотрим, как программно удалять эти атрибуты из контента WordPress, а также примеры использования популярных плагинов и собственных функций.

Удаление атрибутов style и script из контента с помощью фильтров WordPress

WordPress позволяет модифицировать контент через фильтры, такие как the_content. Мы можем применить регулярные выражения или DOM-разбор, чтобы убрать нежелательные атрибуты.

Пример функции wpweb_remove_style_script_attributes

Ниже пример функции, которая удаляет из HTML атрибуты style и onclick (как пример скриптового атрибута) из содержимого поста:

function wpweb_remove_style_script_attributes($content) {
    // Удаляем все вхождения style="..."
    $content = preg_replace('/\sstyle=("[^"]*"|\'[^\']*\')/i', '', $content);
    // Удаляем все вхождения onclick="..." и аналогичные
    $content = preg_replace('/\son(click|load|mouseover|mouseout)=("[^"]*"|\'[^\']*\')/i', '', $content);
    return $content;
}
add_filter('the_content', 'wpweb_remove_style_script_attributes');

Эта функция безопасно удалит атрибуты style и основные события JavaScript из содержимого поста. При необходимости можно расширить список событий.

Преимущества и ограничения данного подхода

Преимущества:

Простая реализация.
Работает на уровне контента, не затрагивая другие части сайта.

Ограничения:

Регулярные выражения могут не полностью корректно обработать сложный HTML.
Не удаляет встроенный тег <script> в контенте. Для этого нужна дополнительная логика.

Удаление тегов <script> и атрибутов style через DOMDocument

Для более точного удаления лучше использовать парсер DOM. В PHP это класс DOMDocument, который позволяет манипулировать HTML как деревом.

Пример функции wpweb_clean_content_with_dom

function wpweb_clean_content_with_dom($content) {
    libxml_use_internal_errors(true);
    $dom = new DOMDocument();
    $dom->loadHTML(mb_convert_encoding($content, 'HTML-ENTITIES', 'UTF-8'));
    
    // Удаляем все теги <script>
    while (($script = $dom->getElementsByTagName('script'))->length > 0) {
        $script->item(0)->parentNode->removeChild($script->item(0));
    }

    // Удаляем атрибуты style из всех элементов
    $xpath = new DOMXPath($dom);
    $nodes = $xpath->query('//*[@style]');
    foreach ($nodes as $node) {
        $node->removeAttribute('style');
    }

    // Возвращаем очищенный HTML
    $body = $dom->getElementsByTagName('body')->item(0);
    $clean_html = '';
    foreach ($body->childNodes as $child) {
        $clean_html .= $dom->saveHTML($child);
    }
    return $clean_html;
}
add_filter('the_content', 'wpweb_clean_content_with_dom');

Этот метод гораздо надежнее и позволяет удалять и теги <script>, и атрибуты style из всех элементов.

Использование плагинов для удаления нежелательных атрибутов и тегов

Если вы не хотите писать код, можно воспользоваться готовыми плагинами, которые позволяют очищать контент от опасных или лишних HTML-элементов.

Плагин WP HTML Sanitizer

Этот плагин позволяет настроить разрешенные теги и атрибуты, удаляя всё лишнее. Он основан на библиотеке HTMLPurifier и хорошо справляется с задачей очистки контента.

Настройки плагина позволяют:

Запретить атрибуты style, script и другие.
Удалять теги <script>, <iframe> и другие опасные элементы.
Сохранять безопасность при работе с пользовательским вводом.

Плагин Advanced Custom Fields — фильтрация содержимого

Если вы используете ACF для вывода пользовательского контента, можно подключить собственные фильтры для очистки:

add_filter('wpweb_acf_clean_content', 'wpweb_clean_content_with_dom');

И применять этот фильтр при выводе полей.

Практические советы по удалению атрибутов style и script в WordPress

Совет 1: Очистка данных при сохранении

Чтобы избежать проблем, лучше удалять нежелательные атрибуты не только при выводе, но и при сохранении данных в базу. Для этого используйте хук save_post или фильтры из плагинов.

Совет 2: Тестирование на разных типах контента

Проверьте работу функций и плагинов на разных типах постов, виджетах и редакторах (Classic, Gutenberg), чтобы убедиться, что удаление атрибутов не ломает верстку.

Совет 3: Логирование изменений

Для отладки полезно вести лог изменений контента при очистке, чтобы быстро находить проблемные места.

Выводы и рекомендации

Удаление атрибутов style и script в WordPress — важный шаг для повышения безопасности и производительности. Используйте фильтры WordPress, парсеры DOM и проверенные плагины для надежного и удобного решения.

Приведенные примеры функций и подходов помогут вам интегрировать очистку в ваш проект на сайте wpweb.ru и обеспечить стабильную работу и защиту вашего WordPress-сайта.