wp-includes/kses.php

   1 <?php
   2 /**
   3  * kses 0.2.2 - HTML/XHTML filter that only allows some elements and attributes
   4  * Copyright (C) 2002, 2003, 2005  Ulf Harnhammar
   5  *
   6  * This program is free software and open source software; you can redistribute
   7  * it and/or modify it under the terms of the GNU General Public License as
   8  * published by the Free Software Foundation; either version 2 of the License,
   9  * or (at your option) any later version.
  10  *
  11  * This program is distributed in the hope that it will be useful, but WITHOUT
  12  * ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or
  13  * FITNESS FOR A PARTICULAR PURPOSE. See the GNU General Public License for
  14  * more details.
  15  *
  16  * You should have received a copy of the GNU General Public License along
  17  * with this program; if not, write to the Free Software Foundation, Inc.,
  18  * 51 Franklin St, Fifth Floor, Boston, MA 02110-1301, USA
  19  * http://www.gnu.org/licenses/gpl.html
  20  *
  21  * [kses strips evil scripts!]
  22  *
  23  * Added wp_ prefix to avoid conflicts with existing kses users
  24  *
  25  * @version 0.2.2
  26  * @copyright (C) 2002, 2003, 2005
  27  * @author Ulf Harnhammar <http://advogato.org/person/metaur/>
  28  *
  29  * @package External
  30  * @subpackage KSES
  31  *
  32  */
  33
  34 /**
  35  * You can override this in a plugin.
  36  *
  37  * The {@see 'wp_kses_allowed_html'} filter is more powerful and supplies context.
  38  *
  39  * `CUSTOM_TAGS` is not recommended and should be considered deprecated.
  40  *
  41  * @see wp_kses_allowed_html()
  42  *
  43  * @since 1.2.0
  44  */
  45 if ( ! defined( 'CUSTOM_TAGS' ) )
  46         define( 'CUSTOM_TAGS', false );
  47
  48 // Ensure that these variables are added to the global namespace
  49 // (e.g. if using namespaces / autoload in the current PHP environment).
  50 global $allowedposttags, $allowedtags, $allowedentitynames;
  51
  52 if ( ! CUSTOM_TAGS ) {
  53         /**
  54          * Kses global for default allowable HTML tags.
  55          *
  56          * Can be override by using CUSTOM_TAGS constant.
  57          *
  58          * @global array $allowedposttags
  59          * @since 2.0.0
  60          */
  61         $allowedposttags = array(
  62                 'address' => array(),
  63                 'a' => array(
  64                         'href' => true,
  65                         'rel' => true,
  66                         'rev' => true,
  67                         'name' => true,
  68                         'target' => true,
  69                 ),
  70                 'abbr' => array(),
  71                 'acronym' => array(),
  72                 'area' => array(
  73                         'alt' => true,
  74                         'coords' => true,
  75                         'href' => true,
  76                         'nohref' => true,
  77                         'shape' => true,
  78                         'target' => true,
  79                 ),
  80                 'article' => array(
  81                         'align' => true,
  82                         'dir' => true,
  83                         'lang' => true,
  84                         'xml:lang' => true,
  85                 ),
  86                 'aside' => array(
  87                         'align' => true,
  88                         'dir' => true,
  89                         'lang' => true,
  90                         'xml:lang' => true,
  91                 ),
  92                 'audio' => array(
  93                         'autoplay' => true,
  94                         'controls' => true,
  95                         'loop' => true,
  96                         'muted' => true,
  97                         'preload' => true,
  98                         'src' => true,
  99                 ),
 100                 'b' => array(),
 101                 'bdo' => array(
 102                         'dir' => true,
 103                 ),
 104                 'big' => array(),
 105                 'blockquote' => array(
 106                         'cite' => true,
 107                         'lang' => true,
 108                         'xml:lang' => true,
 109                 ),
 110                 'br' => array(),
 111                 'button' => array(
 112                         'disabled' => true,
 113                         'name' => true,
 114                         'type' => true,
 115                         'value' => true,
 116                 ),
 117                 'caption' => array(
 118                         'align' => true,
 119                 ),
 120                 'cite' => array(
 121                         'dir' => true,
 122                         'lang' => true,
 123                 ),
 124                 'code' => array(),
 125                 'col' => array(
 126                         'align' => true,
 127                         'char' => true,
 128                         'charoff' => true,
 129                         'span' => true,
 130                         'dir' => true,
 131                         'valign' => true,
 132                         'width' => true,
 133                 ),
 134                 'colgroup' => array(
 135                         'align' => true,
 136                         'char' => true,
 137                         'charoff' => true,
 138                         'span' => true,
 139                         'valign' => true,
 140                         'width' => true,
 141                 ),
 142                 'del' => array(
 143                         'datetime' => true,
 144                 ),
 145                 'dd' => array(),
 146                 'dfn' => array(),
 147                 'details' => array(
 148                         'align' => true,
 149                         'dir' => true,
 150                         'lang' => true,
 151                         'open' => true,
 152                         'xml:lang' => true,
 153                 ),
 154                 'div' => array(
 155                         'align' => true,
 156                         'dir' => true,
 157                         'lang' => true,
 158                         'xml:lang' => true,
 159                 ),
 160                 'dl' => array(),
 161                 'dt' => array(),
 162                 'em' => array(),
 163                 'fieldset' => array(),
 164                 'figure' => array(
 165                         'align' => true,
 166                         'dir' => true,
 167                         'lang' => true,
 168                         'xml:lang' => true,
 169                 ),
 170                 'figcaption' => array(
 171                         'align' => true,
 172                         'dir' => true,
 173                         'lang' => true,
 174                         'xml:lang' => true,
 175                 ),
 176                 'font' => array(
 177                         'color' => true,
 178                         'face' => true,
 179                         'size' => true,
 180                 ),
 181                 'footer' => array(
 182                         'align' => true,
 183                         'dir' => true,
 184                         'lang' => true,
 185                         'xml:lang' => true,
 186                 ),
 187                 'form' => array(
 188                         'action' => true,
 189                         'accept' => true,
 190                         'accept-charset' => true,
 191                         'enctype' => true,
 192                         'method' => true,
 193                         'name' => true,
 194                         'target' => true,
 195                 ),
 196                 'h1' => array(
 197                         'align' => true,
 198                 ),
 199                 'h2' => array(
 200                         'align' => true,
 201                 ),
 202                 'h3' => array(
 203                         'align' => true,
 204                 ),
 205                 'h4' => array(
 206                         'align' => true,
 207                 ),
 208                 'h5' => array(
 209                         'align' => true,
 210                 ),
 211                 'h6' => array(
 212                         'align' => true,
 213                 ),
 214                 'header' => array(
 215                         'align' => true,
 216                         'dir' => true,
 217                         'lang' => true,
 218                         'xml:lang' => true,
 219                 ),
 220                 'hgroup' => array(
 221                         'align' => true,
 222                         'dir' => true,
 223                         'lang' => true,
 224                         'xml:lang' => true,
 225                 ),
 226                 'hr' => array(
 227                         'align' => true,
 228                         'noshade' => true,
 229                         'size' => true,
 230                         'width' => true,
 231                 ),
 232                 'i' => array(),
 233                 'img' => array(
 234                         'alt' => true,
 235                         'align' => true,
 236                         'border' => true,
 237                         'height' => true,
 238                         'hspace' => true,
 239                         'longdesc' => true,
 240                         'vspace' => true,
 241                         'src' => true,
 242                         'usemap' => true,
 243                         'width' => true,
 244                 ),
 245                 'ins' => array(
 246                         'datetime' => true,
 247                         'cite' => true,
 248                 ),
 249                 'kbd' => array(),
 250                 'label' => array(
 251                         'for' => true,
 252                 ),
 253                 'legend' => array(
 254                         'align' => true,
 255                 ),
 256                 'li' => array(
 257                         'align' => true,
 258                         'value' => true,
 259                 ),
 260                 'map' => array(
 261                         'name' => true,
 262                 ),
 263                 'mark' => array(),
 264                 'menu' => array(
 265                         'type' => true,
 266                 ),
 267                 'nav' => array(
 268                         'align' => true,
 269                         'dir' => true,
 270                         'lang' => true,
 271                         'xml:lang' => true,
 272                 ),
 273                 'p' => array(
 274                         'align' => true,
 275                         'dir' => true,
 276                         'lang' => true,
 277                         'xml:lang' => true,
 278                 ),
 279                 'pre' => array(
 280                         'width' => true,
 281                 ),
 282                 'q' => array(
 283                         'cite' => true,
 284                 ),
 285                 's' => array(),
 286                 'samp' => array(),
 287                 'span' => array(
 288                         'dir' => true,
 289                         'align' => true,
 290                         'lang' => true,
 291                         'xml:lang' => true,
 292                 ),
 293                 'section' => array(
 294                         'align' => true,
 295                         'dir' => true,
 296                         'lang' => true,
 297                         'xml:lang' => true,
 298                 ),
 299                 'small' => array(),
 300                 'strike' => array(),
 301                 'strong' => array(),
 302                 'sub' => array(),
 303                 'summary' => array(
 304                         'align' => true,
 305                         'dir' => true,
 306                         'lang' => true,
 307                         'xml:lang' => true,
 308                 ),
 309                 'sup' => array(),
 310                 'table' => array(
 311                         'align' => true,
 312                         'bgcolor' => true,
 313                         'border' => true,
 314                         'cellpadding' => true,
 315                         'cellspacing' => true,
 316                         'dir' => true,
 317                         'rules' => true,
 318                         'summary' => true,
 319                         'width' => true,
 320                 ),
 321                 'tbody' => array(
 322                         'align' => true,
 323                         'char' => true,
 324                         'charoff' => true,
 325                         'valign' => true,
 326                 ),
 327                 'td' => array(
 328                         'abbr' => true,
 329                         'align' => true,
 330                         'axis' => true,
 331                         'bgcolor' => true,
 332                         'char' => true,
 333                         'charoff' => true,
 334                         'colspan' => true,
 335                         'dir' => true,
 336                         'headers' => true,
 337                         'height' => true,
 338                         'nowrap' => true,
 339                         'rowspan' => true,
 340                         'scope' => true,
 341                         'valign' => true,
 342                         'width' => true,
 343                 ),
 344                 'textarea' => array(
 345                         'cols' => true,
 346                         'rows' => true,
 347                         'disabled' => true,
 348                         'name' => true,
 349                         'readonly' => true,
 350                 ),
 351                 'tfoot' => array(
 352                         'align' => true,
 353                         'char' => true,
 354                         'charoff' => true,
 355                         'valign' => true,
 356                 ),
 357                 'th' => array(
 358                         'abbr' => true,
 359                         'align' => true,
 360                         'axis' => true,
 361                         'bgcolor' => true,
 362                         'char' => true,
 363                         'charoff' => true,
 364                         'colspan' => true,
 365                         'headers' => true,
 366                         'height' => true,
 367                         'nowrap' => true,
 368                         'rowspan' => true,
 369                         'scope' => true,
 370                         'valign' => true,
 371                         'width' => true,
 372                 ),
 373                 'thead' => array(
 374                         'align' => true,
 375                         'char' => true,
 376                         'charoff' => true,
 377                         'valign' => true,
 378                 ),
 379                 'title' => array(),
 380                 'tr' => array(
 381                         'align' => true,
 382                         'bgcolor' => true,
 383                         'char' => true,
 384                         'charoff' => true,
 385                         'valign' => true,
 386                 ),
 387                 'track' => array(
 388                         'default' => true,
 389                         'kind' => true,
 390                         'label' => true,
 391                         'src' => true,
 392                         'srclang' => true,
 393                 ),
 394                 'tt' => array(),
 395                 'u' => array(),
 396                 'ul' => array(
 397                         'type' => true,
 398                 ),
 399                 'ol' => array(
 400                         'start' => true,
 401                         'type' => true,
 402                         'reversed' => true,
 403                 ),
 404                 'var' => array(),
 405                 'video' => array(
 406                         'autoplay' => true,
 407                         'controls' => true,
 408                         'height' => true,
 409                         'loop' => true,
 410                         'muted' => true,
 411                         'poster' => true,
 412                         'preload' => true,
 413                         'src' => true,
 414                         'width' => true,
 415                 ),
 416         );
 417
 418         /**
 419          * Kses allowed HTML elements.
 420          *
 421          * @global array $allowedtags
 422          * @since 1.0.0
 423          */
 424         $allowedtags = array(
 425                 'a' => array(
 426                         'href' => true,
 427                         'title' => true,
 428                 ),
 429                 'abbr' => array(
 430                         'title' => true,
 431                 ),
 432                 'acronym' => array(
 433                         'title' => true,
 434                 ),
 435                 'b' => array(),
 436                 'blockquote' => array(
 437                         'cite' => true,
 438                 ),
 439                 'cite' => array(),
 440                 'code' => array(),
 441                 'del' => array(
 442                         'datetime' => true,
 443                 ),
 444                 'em' => array(),
 445                 'i' => array(),
 446                 'q' => array(
 447                         'cite' => true,
 448                 ),
 449                 's' => array(),
 450                 'strike' => array(),
 451                 'strong' => array(),
 452         );
 453
 454         $allowedentitynames = array(
 455                 'nbsp',    'iexcl',  'cent',    'pound',  'curren', 'yen',
 456                 'brvbar',  'sect',   'uml',     'copy',   'ordf',   'laquo',
 457                 'not',     'shy',    'reg',     'macr',   'deg',    'plusmn',
 458                 'acute',   'micro',  'para',    'middot', 'cedil',  'ordm',
 459                 'raquo',   'iquest', 'Agrave',  'Aacute', 'Acirc',  'Atilde',
 460                 'Auml',    'Aring',  'AElig',   'Ccedil', 'Egrave', 'Eacute',
 461                 'Ecirc',   'Euml',   'Igrave',  'Iacute', 'Icirc',  'Iuml',
 462                 'ETH',     'Ntilde', 'Ograve',  'Oacute', 'Ocirc',  'Otilde',
 463                 'Ouml',    'times',  'Oslash',  'Ugrave', 'Uacute', 'Ucirc',
 464                 'Uuml',    'Yacute', 'THORN',   'szlig',  'agrave', 'aacute',
 465                 'acirc',   'atilde', 'auml',    'aring',  'aelig',  'ccedil',
 466                 'egrave',  'eacute', 'ecirc',   'euml',   'igrave', 'iacute',
 467                 'icirc',   'iuml',   'eth',     'ntilde', 'ograve', 'oacute',
 468                 'ocirc',   'otilde', 'ouml',    'divide', 'oslash', 'ugrave',
 469                 'uacute',  'ucirc',  'uuml',    'yacute', 'thorn',  'yuml',
 470                 'quot',    'amp',    'lt',      'gt',     'apos',   'OElig',
 471                 'oelig',   'Scaron', 'scaron',  'Yuml',   'circ',   'tilde',
 472                 'ensp',    'emsp',   'thinsp',  'zwnj',   'zwj',    'lrm',
 473                 'rlm',     'ndash',  'mdash',   'lsquo',  'rsquo',  'sbquo',
 474                 'ldquo',   'rdquo',  'bdquo',   'dagger', 'Dagger', 'permil',
 475                 'lsaquo',  'rsaquo', 'euro',    'fnof',   'Alpha',  'Beta',
 476                 'Gamma',   'Delta',  'Epsilon', 'Zeta',   'Eta',    'Theta',
 477                 'Iota',    'Kappa',  'Lambda',  'Mu',     'Nu',     'Xi',
 478                 'Omicron', 'Pi',     'Rho',     'Sigma',  'Tau',    'Upsilon',
 479                 'Phi',     'Chi',    'Psi',     'Omega',  'alpha',  'beta',
 480                 'gamma',   'delta',  'epsilon', 'zeta',   'eta',    'theta',
 481                 'iota',    'kappa',  'lambda',  'mu',     'nu',     'xi',
 482                 'omicron', 'pi',     'rho',     'sigmaf', 'sigma',  'tau',
 483                 'upsilon', 'phi',    'chi',     'psi',    'omega',  'thetasym',
 484                 'upsih',   'piv',    'bull',    'hellip', 'prime',  'Prime',
 485                 'oline',   'frasl',  'weierp',  'image',  'real',   'trade',
 486                 'alefsym', 'larr',   'uarr',    'rarr',   'darr',   'harr',
 487                 'crarr',   'lArr',   'uArr',    'rArr',   'dArr',   'hArr',
 488                 'forall',  'part',   'exist',   'empty',  'nabla',  'isin',
 489                 'notin',   'ni',     'prod',    'sum',    'minus',  'lowast',
 490                 'radic',   'prop',   'infin',   'ang',    'and',    'or',
 491                 'cap',     'cup',    'int',     'sim',    'cong',   'asymp',
 492                 'ne',      'equiv',  'le',      'ge',     'sub',    'sup',
 493                 'nsub',    'sube',   'supe',    'oplus',  'otimes', 'perp',
 494                 'sdot',    'lceil',  'rceil',   'lfloor', 'rfloor', 'lang',
 495                 'rang',    'loz',    'spades',  'clubs',  'hearts', 'diams',
 496                 'sup1',    'sup2',   'sup3',    'frac14', 'frac12', 'frac34',
 497                 'there4',
 498         );
 499
 500         $allowedposttags = array_map( '_wp_add_global_attributes', $allowedposttags );
 501 } else {
 502         $allowedtags = wp_kses_array_lc( $allowedtags );
 503         $allowedposttags = wp_kses_array_lc( $allowedposttags );
 504 }
 505
 506 /**
 507  * Filters content and keeps only allowable HTML elements.
 508  *
 509  * This function makes sure that only the allowed HTML element names, attribute
 510  * names and attribute values plus only sane HTML entities will occur in
 511  * $string. You have to remove any slashes from PHP's magic quotes before you
 512  * call this function.
 513  *
 514  * The default allowed protocols are 'http', 'https', 'ftp', 'mailto', 'news',
 515  * 'irc', 'gopher', 'nntp', 'feed', 'telnet, 'mms', 'rtsp' and 'svn'. This
 516  * covers all common link protocols, except for 'javascript' which should not
 517  * be allowed for untrusted users.
 518  *
 519  * @since 1.0.0
 520  *
 521  * @param string $string            Content to filter through kses
 522  * @param array  $allowed_html      List of allowed HTML elements
 523  * @param array  $allowed_protocols Optional. Allowed protocol in links.
 524  * @return string Filtered content with only allowed HTML elements
 525  */
 526 function wp_kses( $string, $allowed_html, $allowed_protocols = array() ) {
 527         if ( empty( $allowed_protocols ) )
 528                 $allowed_protocols = wp_allowed_protocols();
 529         $string = wp_kses_no_null( $string, array( 'slash_zero' => 'keep' ) );
 530         $string = wp_kses_normalize_entities($string);
 531         $string = wp_kses_hook($string, $allowed_html, $allowed_protocols); // WP changed the order of these funcs and added args to wp_kses_hook
 532         return wp_kses_split($string, $allowed_html, $allowed_protocols);
 533 }
 534
 535 /**
 536  * Filters one attribute only and ensures its value is allowed.
 537  *
 538  * This function has the advantage of being more secure than esc_attr() and can
 539  * escape data in some situations where wp_kses() must strip the whole attribute.
 540  *
 541  * @since 4.2.3
 542  *
 543  * @param string $string The 'whole' attribute, including name and value.
 544  * @param string $element The element name to which the attribute belongs.
 545  * @return string Filtered attribute.
 546  */
 547 function wp_kses_one_attr( $string, $element ) {
 548         $uris = array('xmlns', 'profile', 'href', 'src', 'cite', 'classid', 'codebase', 'data', 'usemap', 'longdesc', 'action');
 549         $allowed_html = wp_kses_allowed_html( 'post' );
 550         $allowed_protocols = wp_allowed_protocols();
 551         $string = wp_kses_no_null( $string, array( 'slash_zero' => 'keep' ) );
 552
 553         // Preserve leading and trailing whitespace.
 554         $matches = array();
 555         preg_match('/^\s*/', $string, $matches);
 556         $lead = $matches[0];
 557         preg_match('/\s*$/', $string, $matches);
 558         $trail = $matches[0];
 559         if ( empty( $trail ) ) {
 560                 $string = substr( $string, strlen( $lead ) );
 561         } else {
 562                 $string = substr( $string, strlen( $lead ), -strlen( $trail ) );
 563         }
 564
 565         // Parse attribute name and value from input.
 566         $split = preg_split( '/\s*=\s*/', $string, 2 );
 567         $name = $split[0];
 568         if ( count( $split ) == 2 ) {
 569                 $value = $split[1];
 570
 571                 // Remove quotes surrounding $value.
 572                 // Also guarantee correct quoting in $string for this one attribute.
 573                 if ( '' == $value ) {
 574                         $quote = '';
 575                 } else {
 576                         $quote = $value[0];
 577                 }
 578                 if ( '"' == $quote || "'" == $quote ) {
 579                         if ( substr( $value, -1 ) != $quote ) {
 580                                 return '';
 581                         }
 582                         $value = substr( $value, 1, -1 );
 583                 } else {
 584                         $quote = '"';
 585                 }
 586
 587                 // Sanitize quotes, angle braces, and entities.
 588                 $value = esc_attr( $value );
 589
 590                 // Sanitize URI values.
 591                 if ( in_array( strtolower( $name ), $uris ) ) {
 592                         $value = wp_kses_bad_protocol( $value, $allowed_protocols );
 593                 }
 594
 595                 $string = "$name=$quote$value$quote";
 596                 $vless = 'n';
 597         } else {
 598                 $value = '';
 599                 $vless = 'y';
 600         }
 601
 602         // Sanitize attribute by name.
 603         wp_kses_attr_check( $name, $value, $string, $vless, $element, $allowed_html );
 604
 605         // Restore whitespace.
 606         return $lead . $string . $trail;
 607 }
 608
 609 /**
 610  * Return a list of allowed tags and attributes for a given context.
 611  *
 612  * @since 3.5.0
 613  *
 614  * @global array $allowedposttags
 615  * @global array $allowedtags
 616  * @global array $allowedentitynames
 617  *
 618  * @param string $context The context for which to retrieve tags.
 619  *                        Allowed values are post, strip, data,entities, or
 620  *                        the name of a field filter such as pre_user_description.
 621  * @return array List of allowed tags and their allowed attributes.
 622  */
 623 function wp_kses_allowed_html( $context = '' ) {
 624         global $allowedposttags, $allowedtags, $allowedentitynames;
 625
 626         if ( is_array( $context ) ) {
 627                 /**
 628                  * Filters HTML elements allowed for a given context.
 629                  *
 630                  * @since 3.5.0
 631                  *
 632                  * @param string $tags    Allowed tags, attributes, and/or entities.
 633                  * @param string $context Context to judge allowed tags by. Allowed values are 'post',
 634                  *                        'data', 'strip', 'entities', 'explicit', or the name of a filter.
 635                  */
 636                 return apply_filters( 'wp_kses_allowed_html', $context, 'explicit' );
 637         }
 638
 639         switch ( $context ) {
 640                 case 'post':
 641                         /** This filter is documented in wp-includes/kses.php */
 642                         return apply_filters( 'wp_kses_allowed_html', $allowedposttags, $context );
 643
 644                 case 'user_description':
 645                 case 'pre_user_description':
 646                         $tags = $allowedtags;
 647                         $tags['a']['rel'] = true;
 648                         /** This filter is documented in wp-includes/kses.php */
 649                         return apply_filters( 'wp_kses_allowed_html', $tags, $context );
 650
 651                 case 'strip':
 652                         /** This filter is documented in wp-includes/kses.php */
 653                         return apply_filters( 'wp_kses_allowed_html', array(), $context );
 654
 655                 case 'entities':
 656                         /** This filter is documented in wp-includes/kses.php */
 657                         return apply_filters( 'wp_kses_allowed_html', $allowedentitynames, $context);
 658
 659                 case 'data':
 660                 default:
 661                         /** This filter is documented in wp-includes/kses.php */
 662                         return apply_filters( 'wp_kses_allowed_html', $allowedtags, $context );
 663         }
 664 }
 665
 666 /**
 667  * You add any kses hooks here.
 668  *
 669  * There is currently only one kses WordPress hook, {@see 'pre_kses'}, and it is called here.
 670  * All parameters are passed to the hooks and expected to receive a string.
 671  *
 672  * @since 1.0.0
 673  *
 674  * @param string $string            Content to filter through kses
 675  * @param array  $allowed_html      List of allowed HTML elements
 676  * @param array  $allowed_protocols Allowed protocol in links
 677  * @return string Filtered content through {@see 'pre_kses'} hook.
 678  */
 679 function wp_kses_hook( $string, $allowed_html, $allowed_protocols ) {
 680         /**
 681          * Filters content to be run through kses.
 682          *
 683          * @since 2.3.0
 684          *
 685          * @param string $string            Content to run through kses.
 686          * @param array  $allowed_html      Allowed HTML elements.
 687          * @param array  $allowed_protocols Allowed protocol in links.
 688          */
 689         return apply_filters( 'pre_kses', $string, $allowed_html, $allowed_protocols );
 690 }
 691
 692 /**
 693  * This function returns kses' version number.
 694  *
 695  * @since 1.0.0
 696  *
 697  * @return string KSES Version Number
 698  */
 699 function wp_kses_version() {
 700         return '0.2.2';
 701 }
 702
 703 /**
 704  * Searches for HTML tags, no matter how malformed.
 705  *
 706  * It also matches stray ">" characters.
 707  *
 708  * @since 1.0.0
 709  *
 710  * @global array $pass_allowed_html
 711  * @global array $pass_allowed_protocols
 712  *
 713  * @param string $string            Content to filter
 714  * @param array  $allowed_html      Allowed HTML elements
 715  * @param array  $allowed_protocols Allowed protocols to keep
 716  * @return string Content with fixed HTML tags
 717  */
 718 function wp_kses_split( $string, $allowed_html, $allowed_protocols ) {
 719         global $pass_allowed_html, $pass_allowed_protocols;
 720         $pass_allowed_html = $allowed_html;
 721         $pass_allowed_protocols = $allowed_protocols;
 722         return preg_replace_callback( '%(<!--.*?(-->|$))|(<[^>]*(>|$)|>)%', '_wp_kses_split_callback', $string );
 723 }
 724
 725 /**
 726  * Callback for wp_kses_split.
 727  *
 728  * @since 3.1.0
 729  * @access private
 730  *
 731  * @global array $pass_allowed_html
 732  * @global array $pass_allowed_protocols
 733  *
 734  * @return string
 735  */
 736 function _wp_kses_split_callback( $match ) {
 737         global $pass_allowed_html, $pass_allowed_protocols;
 738         return wp_kses_split2( $match[0], $pass_allowed_html, $pass_allowed_protocols );
 739 }
 740
 741 /**
 742  * Callback for wp_kses_split for fixing malformed HTML tags.
 743  *
 744  * This function does a lot of work. It rejects some very malformed things like
 745  * <:::>. It returns an empty string, if the element isn't allowed (look ma, no
 746  * strip_tags()!). Otherwise it splits the tag into an element and an attribute
 747  * list.
 748  *
 749  * After the tag is split into an element and an attribute list, it is run
 750  * through another filter which will remove illegal attributes and once that is
 751  * completed, will be returned.
 752  *
 753  * @access private
 754  * @since 1.0.0
 755  *
 756  * @param string $string            Content to filter
 757  * @param array  $allowed_html      Allowed HTML elements
 758  * @param array  $allowed_protocols Allowed protocols to keep
 759  * @return string Fixed HTML element
 760  */
 761 function wp_kses_split2($string, $allowed_html, $allowed_protocols) {
 762         $string = wp_kses_stripslashes($string);
 763
 764         if (substr($string, 0, 1) != '<')
 765                 return '&gt;';
 766         // It matched a ">" character
 767
 768         if ( '<!--' == substr( $string, 0, 4 ) ) {
 769                 $string = str_replace( array('<!--', '-->'), '', $string );
 770                 while ( $string != ($newstring = wp_kses($string, $allowed_html, $allowed_protocols)) )
 771                         $string = $newstring;
 772                 if ( $string == '' )
 773                         return '';
 774                 // prevent multiple dashes in comments
 775                 $string = preg_replace('/--+/', '-', $string);
 776                 // prevent three dashes closing a comment
 777                 $string = preg_replace('/-$/', '', $string);
 778                 return "<!--{$string}-->";
 779         }
 780         // Allow HTML comments
 781
 782         if (!preg_match('%^<\s*(/\s*)?([a-zA-Z0-9-]+)([^>]*)>?$%', $string, $matches))
 783                 return '';
 784         // It's seriously malformed
 785
 786         $slash = trim($matches[1]);
 787         $elem = $matches[2];
 788         $attrlist = $matches[3];
 789
 790         if ( ! is_array( $allowed_html ) )
 791                 $allowed_html = wp_kses_allowed_html( $allowed_html );
 792
 793         if ( ! isset($allowed_html[strtolower($elem)]) )
 794                 return '';
 795         // They are using a not allowed HTML element
 796
 797         if ($slash != '')
 798                 return "</$elem>";
 799         // No attributes are allowed for closing elements
 800
 801         return wp_kses_attr( $elem, $attrlist, $allowed_html, $allowed_protocols );
 802 }
 803
 804 /**
 805  * Removes all attributes, if none are allowed for this element.
 806  *
 807  * If some are allowed it calls wp_kses_hair() to split them further, and then
 808  * it builds up new HTML code from the data that kses_hair() returns. It also
 809  * removes "<" and ">" characters, if there are any left. One more thing it does
 810  * is to check if the tag has a closing XHTML slash, and if it does, it puts one
 811  * in the returned code as well.
 812  *
 813  * @since 1.0.0
 814  *
 815  * @param string $element           HTML element/tag
 816  * @param string $attr              HTML attributes from HTML element to closing HTML element tag
 817  * @param array  $allowed_html      Allowed HTML elements
 818  * @param array  $allowed_protocols Allowed protocols to keep
 819  * @return string Sanitized HTML element
 820  */
 821 function wp_kses_attr($element, $attr, $allowed_html, $allowed_protocols) {
 822         if ( ! is_array( $allowed_html ) )
 823                 $allowed_html = wp_kses_allowed_html( $allowed_html );
 824
 825         // Is there a closing XHTML slash at the end of the attributes?
 826         $xhtml_slash = '';
 827         if (preg_match('%\s*/\s*$%', $attr))
 828                 $xhtml_slash = ' /';
 829
 830         // Are any attributes allowed at all for this element?
 831         if ( ! isset($allowed_html[strtolower($element)]) || count($allowed_html[strtolower($element)]) == 0 )
 832                 return "<$element$xhtml_slash>";
 833
 834         // Split it
 835         $attrarr = wp_kses_hair($attr, $allowed_protocols);
 836
 837         // Go through $attrarr, and save the allowed attributes for this element
 838         // in $attr2
 839         $attr2 = '';
 840         foreach ( $attrarr as $arreach ) {
 841                 if ( wp_kses_attr_check( $arreach['name'], $arreach['value'], $arreach['whole'], $arreach['vless'], $element, $allowed_html ) ) {
 842                         $attr2 .= ' '.$arreach['whole'];
 843                 }
 844         }
 845
 846         // Remove any "<" or ">" characters
 847         $attr2 = preg_replace('/[<>]/', '', $attr2);
 848
 849         return "<$element$attr2$xhtml_slash>";
 850 }
 851
 852 /**
 853  * Determine whether an attribute is allowed.
 854  *
 855  * @since 4.2.3
 856  *
 857  * @param string $name The attribute name. Returns empty string when not allowed.
 858  * @param string $value The attribute value. Returns a filtered value.
 859  * @param string $whole The name=value input. Returns filtered input.
 860  * @param string $vless 'y' when attribute like "enabled", otherwise 'n'.
 861  * @param string $element The name of the element to which this attribute belongs.
 862  * @param array $allowed_html The full list of allowed elements and attributes.
 863  * @return bool Is the attribute allowed?
 864  */
 865 function wp_kses_attr_check( &$name, &$value, &$whole, $vless, $element, $allowed_html ) {
 866         $allowed_attr = $allowed_html[strtolower( $element )];
 867
 868         $name_low = strtolower( $name );
 869         if ( ! isset( $allowed_attr[$name_low] ) || '' == $allowed_attr[$name_low] ) {
 870                 $name = $value = $whole = '';
 871                 return false;
 872         }
 873
 874         if ( 'style' == $name_low ) {
 875                 $new_value = safecss_filter_attr( $value );
 876
 877                 if ( empty( $new_value ) ) {
 878                         $name = $value = $whole = '';
 879                         return false;
 880                 }
 881
 882                 $whole = str_replace( $value, $new_value, $whole );
 883                 $value = $new_value;
 884         }
 885
 886         if ( is_array( $allowed_attr[$name_low] ) ) {
 887                 // there are some checks
 888                 foreach ( $allowed_attr[$name_low] as $currkey => $currval ) {
 889                         if ( ! wp_kses_check_attr_val( $value, $vless, $currkey, $currval ) ) {
 890                                 $name = $value = $whole = '';
 891                                 return false;
 892                         }
 893                 }
 894         }
 895
 896         return true;
 897 }
 898
 899 /**
 900  * Builds an attribute list from string containing attributes.
 901  *
 902  * This function does a lot of work. It parses an attribute list into an array
 903  * with attribute data, and tries to do the right thing even if it gets weird
 904  * input. It will add quotes around attribute values that don't have any quotes
 905  * or apostrophes around them, to make it easier to produce HTML code that will
 906  * conform to W3C's HTML specification. It will also remove bad URL protocols
 907  * from attribute values. It also reduces duplicate attributes by using the
 908  * attribute defined first (foo='bar' foo='baz' will result in foo='bar').
 909  *
 910  * @since 1.0.0
 911  *
 912  * @param string $attr              Attribute list from HTML element to closing HTML element tag
 913  * @param array  $allowed_protocols Allowed protocols to keep
 914  * @return array List of attributes after parsing
 915  */
 916 function wp_kses_hair($attr, $allowed_protocols) {
 917         $attrarr = array();
 918         $mode = 0;
 919         $attrname = '';
 920         $uris = array('xmlns', 'profile', 'href', 'src', 'cite', 'classid', 'codebase', 'data', 'usemap', 'longdesc', 'action');
 921
 922         // Loop through the whole attribute list
 923
 924         while (strlen($attr) != 0) {
 925                 $working = 0; // Was the last operation successful?
 926
 927                 switch ($mode) {
 928                         case 0 : // attribute name, href for instance
 929
 930                                 if ( preg_match('/^([-a-zA-Z:]+)/', $attr, $match ) ) {
 931                                         $attrname = $match[1];
 932                                         $working = $mode = 1;
 933                                         $attr = preg_replace( '/^[-a-zA-Z:]+/', '', $attr );
 934                                 }
 935
 936                                 break;
 937
 938                         case 1 : // equals sign or valueless ("selected")
 939
 940                                 if (preg_match('/^\s*=\s*/', $attr)) // equals sign
 941                                         {
 942                                         $working = 1;
 943                                         $mode = 2;
 944                                         $attr = preg_replace('/^\s*=\s*/', '', $attr);
 945                                         break;
 946                                 }
 947
 948                                 if (preg_match('/^\s+/', $attr)) // valueless
 949                                         {
 950                                         $working = 1;
 951                                         $mode = 0;
 952                                         if(false === array_key_exists($attrname, $attrarr)) {
 953                                                 $attrarr[$attrname] = array ('name' => $attrname, 'value' => '', 'whole' => $attrname, 'vless' => 'y');
 954                                         }
 955                                         $attr = preg_replace('/^\s+/', '', $attr);
 956                                 }
 957
 958                                 break;
 959
 960                         case 2 : // attribute value, a URL after href= for instance
 961
 962                                 if (preg_match('%^"([^"]*)"(\s+|/?$)%', $attr, $match))
 963                                         // "value"
 964                                         {
 965                                         $thisval = $match[1];
 966                                         if ( in_array(strtolower($attrname), $uris) )
 967                                                 $thisval = wp_kses_bad_protocol($thisval, $allowed_protocols);
 968
 969                                         if(false === array_key_exists($attrname, $attrarr)) {
 970                                                 $attrarr[$attrname] = array ('name' => $attrname, 'value' => $thisval, 'whole' => "$attrname=\"$thisval\"", 'vless' => 'n');
 971                                         }
 972                                         $working = 1;
 973                                         $mode = 0;
 974                                         $attr = preg_replace('/^"[^"]*"(\s+|$)/', '', $attr);
 975                                         break;
 976                                 }
 977
 978                                 if (preg_match("%^'([^']*)'(\s+|/?$)%", $attr, $match))
 979                                         // 'value'
 980                                         {
 981                                         $thisval = $match[1];
 982                                         if ( in_array(strtolower($attrname), $uris) )
 983                                                 $thisval = wp_kses_bad_protocol($thisval, $allowed_protocols);
 984
 985                                         if(false === array_key_exists($attrname, $attrarr)) {
 986                                                 $attrarr[$attrname] = array ('name' => $attrname, 'value' => $thisval, 'whole' => "$attrname='$thisval'", 'vless' => 'n');
 987                                         }
 988                                         $working = 1;
 989                                         $mode = 0;
 990                                         $attr = preg_replace("/^'[^']*'(\s+|$)/", '', $attr);
 991                                         break;
 992                                 }
 993
 994                                 if (preg_match("%^([^\s\"']+)(\s+|/?$)%", $attr, $match))
 995                                         // value
 996                                         {
 997                                         $thisval = $match[1];
 998                                         if ( in_array(strtolower($attrname), $uris) )
 999                                                 $thisval = wp_kses_bad_protocol($thisval, $allowed_protocols);
1000
1001                                         if(false === array_key_exists($attrname, $attrarr)) {
1002                                                 $attrarr[$attrname] = array ('name' => $attrname, 'value' => $thisval, 'whole' => "$attrname=\"$thisval\"", 'vless' => 'n');
1003                                         }
1004                                         // We add quotes to conform to W3C's HTML spec.
1005                                         $working = 1;
1006                                         $mode = 0;
1007                                         $attr = preg_replace("%^[^\s\"']+(\s+|$)%", '', $attr);
1008                                 }
1009
1010                                 break;
1011                 } // switch
1012
1013                 if ($working == 0) // not well formed, remove and try again
1014                 {
1015                         $attr = wp_kses_html_error($attr);
1016                         $mode = 0;
1017                 }
1018         } // while
1019
1020         if ($mode == 1 && false === array_key_exists($attrname, $attrarr))
1021                 // special case, for when the attribute list ends with a valueless
1022                 // attribute like "selected"
1023                 $attrarr[$attrname] = array ('name' => $attrname, 'value' => '', 'whole' => $attrname, 'vless' => 'y');
1024
1025         return $attrarr;
1026 }
1027
1028 /**
1029  * Finds all attributes of an HTML element.
1030  *
1031  * Does not modify input.  May return "evil" output.
1032  *
1033  * Based on wp_kses_split2() and wp_kses_attr()
1034  *
1035  * @since 4.2.3
1036  *
1037  * @param string $element HTML element/tag
1038  * @return array|bool List of attributes found in $element. Returns false on failure.
1039  */
1040 function wp_kses_attr_parse( $element ) {
1041         $valid = preg_match('%^(<\s*)(/\s*)?([a-zA-Z0-9]+\s*)([^>]*)(>?)$%', $element, $matches);
1042         if ( 1 !== $valid ) {
1043                 return false;
1044         }
1045
1046         $begin =  $matches[1];
1047         $slash =  $matches[2];
1048         $elname = $matches[3];
1049         $attr =   $matches[4];
1050         $end =    $matches[5];
1051
1052         if ( '' !== $slash ) {
1053                 // Closing elements do not get parsed.
1054                 return false;
1055         }
1056
1057         // Is there a closing XHTML slash at the end of the attributes?
1058         if ( 1 === preg_match( '%\s*/\s*$%', $attr, $matches ) ) {
1059                 $xhtml_slash = $matches[0];
1060                 $attr = substr( $attr, 0, -strlen( $xhtml_slash ) );
1061         } else {
1062                 $xhtml_slash = '';
1063         }
1064
1065         // Split it
1066         $attrarr = wp_kses_hair_parse( $attr );
1067         if ( false === $attrarr ) {
1068                 return false;
1069         }
1070
1071         // Make sure all input is returned by adding front and back matter.
1072         array_unshift( $attrarr, $begin . $slash . $elname );
1073         array_push( $attrarr, $xhtml_slash . $end );
1074
1075         return $attrarr;
1076 }
1077
1078 /**
1079  * Builds an attribute list from string containing attributes.
1080  *
1081  * Does not modify input.  May return "evil" output.
1082  * In case of unexpected input, returns false instead of stripping things.
1083  *
1084  * Based on wp_kses_hair() but does not return a multi-dimensional array.
1085  *
1086  * @since 4.2.3
1087  *
1088  * @param string $attr Attribute list from HTML element to closing HTML element tag
1089  * @return array|bool List of attributes found in $attr. Returns false on failure.
1090  */
1091 function wp_kses_hair_parse( $attr ) {
1092         if ( '' === $attr ) {
1093                 return array();
1094         }
1095
1096         $regex =
1097           '(?:'
1098         .     '[-a-zA-Z:]+'   // Attribute name.
1099         . '|'
1100         .     '\[\[?[^\[\]]+\]\]?' // Shortcode in the name position implies unfiltered_html.
1101         . ')'
1102         . '(?:'               // Attribute value.
1103         .     '\s*=\s*'       // All values begin with '='
1104         .     '(?:'
1105         .         '"[^"]*"'   // Double-quoted
1106         .     '|'
1107         .         "'[^']*'"   // Single-quoted
1108         .     '|'
1109         .         '[^\s"\']+' // Non-quoted
1110         .         '(?:\s|$)'  // Must have a space
1111         .     ')'
1112         . '|'
1113         .     '(?:\s|$)'      // If attribute has no value, space is required.
1114         . ')'
1115         . '\s*';              // Trailing space is optional except as mentioned above.
1116
1117         // Although it is possible to reduce this procedure to a single regexp,
1118         // we must run that regexp twice to get exactly the expected result.
1119
1120         $validation = "%^($regex)+$%";
1121         $extraction = "%$regex%";
1122
1123         if ( 1 === preg_match( $validation, $attr ) ) {
1124                 preg_match_all( $extraction, $attr, $attrarr );
1125                 return $attrarr[0];
1126         } else {
1127                 return false;
1128         }
1129 }
1130
1131 /**
1132  * Performs different checks for attribute values.
1133  *
1134  * The currently implemented checks are "maxlen", "minlen", "maxval", "minval"
1135  * and "valueless".
1136  *
1137  * @since 1.0.0
1138  *
1139  * @param string $value      Attribute value
1140  * @param string $vless      Whether the value is valueless. Use 'y' or 'n'
1141  * @param string $checkname  What $checkvalue is checking for.
1142  * @param mixed  $checkvalue What constraint the value should pass
1143  * @return bool Whether check passes
1144  */
1145 function wp_kses_check_attr_val($value, $vless, $checkname, $checkvalue) {
1146         $ok = true;
1147
1148         switch (strtolower($checkname)) {
1149                 case 'maxlen' :
1150                         // The maxlen check makes sure that the attribute value has a length not
1151                         // greater than the given value. This can be used to avoid Buffer Overflows
1152                         // in WWW clients and various Internet servers.
1153
1154                         if (strlen($value) > $checkvalue)
1155                                 $ok = false;
1156                         break;
1157
1158                 case 'minlen' :
1159                         // The minlen check makes sure that the attribute value has a length not
1160                         // smaller than the given value.
1161
1162                         if (strlen($value) < $checkvalue)
1163                                 $ok = false;
1164                         break;
1165
1166                 case 'maxval' :
1167                         // The maxval check does two things: it checks that the attribute value is
1168                         // an integer from 0 and up, without an excessive amount of zeroes or
1169                         // whitespace (to avoid Buffer Overflows). It also checks that the attribute
1170                         // value is not greater than the given value.
1171                         // This check can be used to avoid Denial of Service attacks.
1172
1173                         if (!preg_match('/^\s{0,6}[0-9]{1,6}\s{0,6}$/', $value))
1174                                 $ok = false;
1175                         if ($value > $checkvalue)
1176                                 $ok = false;
1177                         break;
1178
1179                 case 'minval' :
1180                         // The minval check makes sure that the attribute value is a positive integer,
1181                         // and that it is not smaller than the given value.
1182
1183                         if (!preg_match('/^\s{0,6}[0-9]{1,6}\s{0,6}$/', $value))
1184                                 $ok = false;
1185                         if ($value < $checkvalue)
1186                                 $ok = false;
1187                         break;
1188
1189                 case 'valueless' :
1190                         // The valueless check makes sure if the attribute has a value
1191                         // (like <a href="blah">) or not (<option selected>). If the given value
1192                         // is a "y" or a "Y", the attribute must not have a value.
1193                         // If the given value is an "n" or an "N", the attribute must have one.
1194
1195                         if (strtolower($checkvalue) != $vless)
1196                                 $ok = false;
1197                         break;
1198         } // switch
1199
1200         return $ok;
1201 }
1202
1203 /**
1204  * Sanitize string from bad protocols.
1205  *
1206  * This function removes all non-allowed protocols from the beginning of
1207  * $string. It ignores whitespace and the case of the letters, and it does
1208  * understand HTML entities. It does its work in a while loop, so it won't be
1209  * fooled by a string like "javascript:javascript:alert(57)".
1210  *
1211  * @since 1.0.0
1212  *
1213  * @param string $string            Content to filter bad protocols from
1214  * @param array  $allowed_protocols Allowed protocols to keep
1215  * @return string Filtered content
1216  */
1217 function wp_kses_bad_protocol($string, $allowed_protocols) {
1218         $string = wp_kses_no_null($string);
1219         $iterations = 0;
1220
1221         do {
1222                 $original_string = $string;
1223                 $string = wp_kses_bad_protocol_once($string, $allowed_protocols);
1224         } while ( $original_string != $string && ++$iterations < 6 );
1225
1226         if ( $original_string != $string )
1227                 return '';
1228
1229         return $string;
1230 }
1231
1232 /**
1233  * Removes any invalid control characters in $string.
1234  *
1235  * Also removes any instance of the '\0' string.
1236  *
1237  * @since 1.0.0
1238  *
1239  * @param string $string
1240  * @param array $options Set 'slash_zero' => 'keep' when '\0' is allowed. Default is 'remove'.
1241  * @return string
1242  */
1243 function wp_kses_no_null( $string, $options = null ) {
1244         if ( ! isset( $options['slash_zero'] ) ) {
1245                 $options = array( 'slash_zero' => 'remove' );
1246         }
1247
1248         $string = preg_replace( '/[\x00-\x08\x0B\x0C\x0E-\x1F]/', '', $string );
1249         if ( 'remove' == $options['slash_zero'] ) {
1250                 $string = preg_replace( '/\\\\+0+/', '', $string );
1251         }
1252
1253         return $string;
1254 }
1255
1256 /**
1257  * Strips slashes from in front of quotes.
1258  *
1259  * This function changes the character sequence \" to just ". It leaves all
1260  * other slashes alone. It's really weird, but the quoting from
1261  * preg_replace(//e) seems to require this.
1262  *
1263  * @since 1.0.0
1264  *
1265  * @param string $string String to strip slashes
1266  * @return string Fixed string with quoted slashes
1267  */
1268 function wp_kses_stripslashes($string) {
1269         return preg_replace('%\\\\"%', '"', $string);
1270 }
1271
1272 /**
1273  * Goes through an array and changes the keys to all lower case.
1274  *
1275  * @since 1.0.0
1276  *
1277  * @param array $inarray Unfiltered array
1278  * @return array Fixed array with all lowercase keys
1279  */
1280 function wp_kses_array_lc($inarray) {
1281         $outarray = array ();
1282
1283         foreach ( (array) $inarray as $inkey => $inval) {
1284                 $outkey = strtolower($inkey);
1285                 $outarray[$outkey] = array ();
1286
1287                 foreach ( (array) $inval as $inkey2 => $inval2) {
1288                         $outkey2 = strtolower($inkey2);
1289                         $outarray[$outkey][$outkey2] = $inval2;
1290                 } // foreach $inval
1291         } // foreach $inarray
1292
1293         return $outarray;
1294 }
1295
1296 /**
1297  * Handles parsing errors in wp_kses_hair().
1298  *
1299  * The general plan is to remove everything to and including some whitespace,
1300  * but it deals with quotes and apostrophes as well.
1301  *
1302  * @since 1.0.0
1303  *
1304  * @param string $string
1305  * @return string
1306  */
1307 function wp_kses_html_error($string) {
1308         return preg_replace('/^("[^"]*("|$)|\'[^\']*(\'|$)|\S)*\s*/', '', $string);
1309 }
1310
1311 /**
1312  * Sanitizes content from bad protocols and other characters.
1313  *
1314  * This function searches for URL protocols at the beginning of $string, while
1315  * handling whitespace and HTML entities.
1316  *
1317  * @since 1.0.0
1318  *
1319  * @param string $string            Content to check for bad protocols
1320  * @param string $allowed_protocols Allowed protocols
1321  * @return string Sanitized content
1322  */
1323 function wp_kses_bad_protocol_once($string, $allowed_protocols, $count = 1 ) {
1324         $string2 = preg_split( '/:|&#0*58;|&#x0*3a;/i', $string, 2 );
1325         if ( isset($string2[1]) && ! preg_match('%/\?%', $string2[0]) ) {
1326                 $string = trim( $string2[1] );
1327                 $protocol = wp_kses_bad_protocol_once2( $string2[0], $allowed_protocols );
1328                 if ( 'feed:' == $protocol ) {
1329                         if ( $count > 2 )
1330                                 return '';
1331                         $string = wp_kses_bad_protocol_once( $string, $allowed_protocols, ++$count );
1332                         if ( empty( $string ) )
1333                                 return $string;
1334                 }
1335                 $string = $protocol . $string;
1336         }
1337
1338         return $string;
1339 }
1340
1341 /**
1342  * Callback for wp_kses_bad_protocol_once() regular expression.
1343  *
1344  * This function processes URL protocols, checks to see if they're in the
1345  * whitelist or not, and returns different data depending on the answer.
1346  *
1347  * @access private
1348  * @since 1.0.0
1349  *
1350  * @param string $string            URI scheme to check against the whitelist
1351  * @param string $allowed_protocols Allowed protocols
1352  * @return string Sanitized content
1353  */
1354 function wp_kses_bad_protocol_once2( $string, $allowed_protocols ) {
1355         $string2 = wp_kses_decode_entities($string);
1356         $string2 = preg_replace('/\s/', '', $string2);
1357         $string2 = wp_kses_no_null($string2);
1358         $string2 = strtolower($string2);
1359
1360         $allowed = false;
1361         foreach ( (array) $allowed_protocols as $one_protocol )
1362                 if ( strtolower($one_protocol) == $string2 ) {
1363                         $allowed = true;
1364                         break;
1365                 }
1366
1367         if ($allowed)
1368                 return "$string2:";
1369         else
1370                 return '';
1371 }
1372
1373 /**
1374  * Converts and fixes HTML entities.
1375  *
1376  * This function normalizes HTML entities. It will convert `AT&T` to the correct
1377  * `AT&amp;T`, `&#00058;` to `&#58;`, `&#XYZZY;` to `&amp;#XYZZY;` and so on.
1378  *
1379  * @since 1.0.0
1380  *
1381  * @param string $string Content to normalize entities
1382  * @return string Content with normalized entities
1383  */
1384 function wp_kses_normalize_entities($string) {
1385         // Disarm all entities by converting & to &amp;
1386         $string = str_replace('&', '&amp;', $string);
1387
1388         // Change back the allowed entities in our entity whitelist
1389         $string = preg_replace_callback('/&amp;([A-Za-z]{2,8}[0-9]{0,2});/', 'wp_kses_named_entities', $string);
1390         $string = preg_replace_callback('/&amp;#(0*[0-9]{1,7});/', 'wp_kses_normalize_entities2', $string);
1391         $string = preg_replace_callback('/&amp;#[Xx](0*[0-9A-Fa-f]{1,6});/', 'wp_kses_normalize_entities3', $string);
1392
1393         return $string;
1394 }
1395
1396 /**
1397  * Callback for wp_kses_normalize_entities() regular expression.
1398  *
1399  * This function only accepts valid named entity references, which are finite,
1400  * case-sensitive, and highly scrutinized by HTML and XML validators.
1401  *
1402  * @since 3.0.0
1403  *
1404  * @global array $allowedentitynames
1405  *
1406  * @param array $matches preg_replace_callback() matches array
1407  * @return string Correctly encoded entity
1408  */
1409 function wp_kses_named_entities($matches) {
1410         global $allowedentitynames;
1411
1412         if ( empty($matches[1]) )
1413                 return '';
1414
1415         $i = $matches[1];
1416         return ( ! in_array( $i, $allowedentitynames ) ) ? "&amp;$i;" : "&$i;";
1417 }
1418
1419 /**
1420  * Callback for wp_kses_normalize_entities() regular expression.
1421  *
1422  * This function helps wp_kses_normalize_entities() to only accept 16-bit
1423  * values and nothing more for `&#number;` entities.
1424  *
1425  * @access private
1426  * @since 1.0.0
1427  *
1428  * @param array $matches preg_replace_callback() matches array
1429  * @return string Correctly encoded entity
1430  */
1431 function wp_kses_normalize_entities2($matches) {
1432         if ( empty($matches[1]) )
1433                 return '';
1434
1435         $i = $matches[1];
1436         if (valid_unicode($i)) {
1437                 $i = str_pad(ltrim($i,'0'), 3, '0', STR_PAD_LEFT);
1438                 $i = "&#$i;";
1439         } else {
1440                 $i = "&amp;#$i;";
1441         }
1442
1443         return $i;
1444 }
1445
1446 /**
1447  * Callback for wp_kses_normalize_entities() for regular expression.
1448  *
1449  * This function helps wp_kses_normalize_entities() to only accept valid Unicode
1450  * numeric entities in hex form.
1451  *
1452  * @access private
1453  *
1454  * @param array $matches preg_replace_callback() matches array
1455  * @return string Correctly encoded entity
1456  */
1457 function wp_kses_normalize_entities3($matches) {
1458         if ( empty($matches[1]) )
1459                 return '';
1460
1461         $hexchars = $matches[1];
1462         return ( ! valid_unicode( hexdec( $hexchars ) ) ) ? "&amp;#x$hexchars;" : '&#x'.ltrim($hexchars,'0').';';
1463 }
1464
1465 /**
1466  * Helper function to determine if a Unicode value is valid.
1467  *
1468  * @param int $i Unicode value
1469  * @return bool True if the value was a valid Unicode number
1470  */
1471 function valid_unicode($i) {
1472         return ( $i == 0x9 || $i == 0xa || $i == 0xd ||
1473                         ($i >= 0x20 && $i <= 0xd7ff) ||
1474                         ($i >= 0xe000 && $i <= 0xfffd) ||
1475                         ($i >= 0x10000 && $i <= 0x10ffff) );
1476 }
1477
1478 /**
1479  * Convert all entities to their character counterparts.
1480  *
1481  * This function decodes numeric HTML entities (`&#65;` and `&#x41;`).
1482  * It doesn't do anything with other entities like &auml;, but we don't
1483  * need them in the URL protocol whitelisting system anyway.
1484  *
1485  * @since 1.0.0
1486  *
1487  * @param string $string Content to change entities
1488  * @return string Content after decoded entities
1489  */
1490 function wp_kses_decode_entities($string) {
1491         $string = preg_replace_callback('/&#([0-9]+);/', '_wp_kses_decode_entities_chr', $string);
1492         $string = preg_replace_callback('/&#[Xx]([0-9A-Fa-f]+);/', '_wp_kses_decode_entities_chr_hexdec', $string);
1493
1494         return $string;
1495 }
1496
1497 /**
1498  * Regex callback for wp_kses_decode_entities()
1499  *
1500  * @param array $match preg match
1501  * @return string
1502  */
1503 function _wp_kses_decode_entities_chr( $match ) {
1504         return chr( $match[1] );
1505 }
1506
1507 /**
1508  * Regex callback for wp_kses_decode_entities()
1509  *
1510  * @param array $match preg match
1511  * @return string
1512  */
1513 function _wp_kses_decode_entities_chr_hexdec( $match ) {
1514         return chr( hexdec( $match[1] ) );
1515 }
1516
1517 /**
1518  * Sanitize content with allowed HTML Kses rules.
1519  *
1520  * @since 1.0.0
1521  *
1522  * @param string $data Content to filter, expected to be escaped with slashes
1523  * @return string Filtered content
1524  */
1525 function wp_filter_kses( $data ) {
1526         return addslashes( wp_kses( stripslashes( $data ), current_filter() ) );
1527 }
1528
1529 /**
1530  * Sanitize content with allowed HTML Kses rules.
1531  *
1532  * @since 2.9.0
1533  *
1534  * @param string $data Content to filter, expected to not be escaped
1535  * @return string Filtered content
1536  */
1537 function wp_kses_data( $data ) {
1538         return wp_kses( $data, current_filter() );
1539 }
1540
1541 /**
1542  * Sanitize content for allowed HTML tags for post content.
1543  *
1544  * Post content refers to the page contents of the 'post' type and not $_POST
1545  * data from forms.
1546  *
1547  * @since 2.0.0
1548  *
1549  * @param string $data Post content to filter, expected to be escaped with slashes
1550  * @return string Filtered post content with allowed HTML tags and attributes intact.
1551  */
1552 function wp_filter_post_kses( $data ) {
1553         return addslashes( wp_kses( stripslashes( $data ), 'post' ) );
1554 }
1555
1556 /**
1557  * Sanitize content for allowed HTML tags for post content.
1558  *
1559  * Post content refers to the page contents of the 'post' type and not $_POST
1560  * data from forms.
1561  *
1562  * @since 2.9.0
1563  *
1564  * @param string $data Post content to filter
1565  * @return string Filtered post content with allowed HTML tags and attributes intact.
1566  */
1567 function wp_kses_post( $data ) {
1568         return wp_kses( $data, 'post' );
1569 }
1570
1571 /**
1572  * Navigates through an array, object, or scalar, and sanitizes content for
1573  * allowed HTML tags for post content.
1574  *
1575  * @since 4.4.2
1576  *
1577  * @see map_deep()
1578  *
1579  * @param mixed $data The array, object, or scalar value to inspect.
1580  * @return mixed The filtered content.
1581  */
1582 function wp_kses_post_deep( $data ) {
1583         return map_deep( $data, 'wp_kses_post' );
1584 }
1585
1586 /**
1587  * Strips all of the HTML in the content.
1588  *
1589  * @since 2.1.0
1590  *
1591  * @param string $data Content to strip all HTML from
1592  * @return string Filtered content without any HTML
1593  */
1594 function wp_filter_nohtml_kses( $data ) {
1595         return addslashes( wp_kses( stripslashes( $data ), 'strip' ) );
1596 }
1597
1598 /**
1599  * Adds all Kses input form content filters.
1600  *
1601  * All hooks have default priority. The wp_filter_kses() function is added to
1602  * the 'pre_comment_content' and 'title_save_pre' hooks.
1603  *
1604  * The wp_filter_post_kses() function is added to the 'content_save_pre',
1605  * 'excerpt_save_pre', and 'content_filtered_save_pre' hooks.
1606  *
1607  * @since 2.0.0
1608  */
1609 function kses_init_filters() {
1610         // Normal filtering
1611         add_filter('title_save_pre', 'wp_filter_kses');
1612
1613         // Comment filtering
1614         if ( current_user_can( 'unfiltered_html' ) )
1615                 add_filter( 'pre_comment_content', 'wp_filter_post_kses' );
1616         else
1617                 add_filter( 'pre_comment_content', 'wp_filter_kses' );
1618
1619         // Post filtering
1620         add_filter('content_save_pre', 'wp_filter_post_kses');
1621         add_filter('excerpt_save_pre', 'wp_filter_post_kses');
1622         add_filter('content_filtered_save_pre', 'wp_filter_post_kses');
1623 }
1624
1625 /**
1626  * Removes all Kses input form content filters.
1627  *
1628  * A quick procedural method to removing all of the filters that kses uses for
1629  * content in WordPress Loop.
1630  *
1631  * Does not remove the kses_init() function from {@see 'init'} hook (priority is
1632  * default). Also does not remove kses_init() function from {@see 'set_current_user'}
1633  * hook (priority is also default).
1634  *
1635  * @since 2.0.6
1636  */
1637 function kses_remove_filters() {
1638         // Normal filtering
1639         remove_filter('title_save_pre', 'wp_filter_kses');
1640
1641         // Comment filtering
1642         remove_filter( 'pre_comment_content', 'wp_filter_post_kses' );
1643         remove_filter( 'pre_comment_content', 'wp_filter_kses' );
1644
1645         // Post filtering
1646         remove_filter('content_save_pre', 'wp_filter_post_kses');
1647         remove_filter('excerpt_save_pre', 'wp_filter_post_kses');
1648         remove_filter('content_filtered_save_pre', 'wp_filter_post_kses');
1649 }
1650
1651 /**
1652  * Sets up most of the Kses filters for input form content.
1653  *
1654  * If you remove the kses_init() function from {@see 'init'} hook and
1655  * {@see 'set_current_user'} (priority is default), then none of the Kses filter hooks
1656  * will be added.
1657  *
1658  * First removes all of the Kses filters in case the current user does not need
1659  * to have Kses filter the content. If the user does not have unfiltered_html
1660  * capability, then Kses filters are added.
1661  *
1662  * @since 2.0.0
1663  */
1664 function kses_init() {
1665         kses_remove_filters();
1666
1667         if ( ! current_user_can( 'unfiltered_html' ) ) {
1668                 kses_init_filters();
1669         }
1670 }
1671
1672 /**
1673  * Inline CSS filter
1674  *
1675  * @since 2.8.1
1676  *
1677  * @param string $css        A string of CSS rules.
1678  * @param string $deprecated Not used.
1679  * @return string            Filtered string of CSS rules.
1680  */
1681 function safecss_filter_attr( $css, $deprecated = '' ) {
1682         if ( !empty( $deprecated ) )
1683                 _deprecated_argument( __FUNCTION__, '2.8.1' ); // Never implemented
1684
1685         $css = wp_kses_no_null($css);
1686         $css = str_replace(array("\n","\r","\t"), '', $css);
1687
1688         if ( preg_match( '%[\\\\(&=}]|/\*%', $css ) ) // remove any inline css containing \ ( & } = or comments
1689                 return '';
1690
1691         $css_array = explode( ';', trim( $css ) );
1692
1693         /**
1694          * Filters list of allowed CSS attributes.
1695          *
1696          * @since 2.8.1
1697          * @since 4.4.0 Added support for `min-height`, `max-height`, `min-width`, and `max-width`.
1698          * @since 4.6.0 Added support for `list-style-type`.
1699          *
1700          * @param array $attr List of allowed CSS attributes.
1701          */
1702         $allowed_attr = apply_filters( 'safe_style_css', array(
1703                 'background',
1704                 'background-color',
1705
1706                 'border',
1707                 'border-width',
1708                 'border-color',
1709                 'border-style',
1710                 'border-right',
1711                 'border-right-color',
1712                 'border-right-style',
1713                 'border-right-width',
1714                 'border-bottom',
1715                 'border-bottom-color',
1716                 'border-bottom-style',
1717                 'border-bottom-width',
1718                 'border-left',
1719                 'border-left-color',
1720                 'border-left-style',
1721                 'border-left-width',
1722                 'border-top',
1723                 'border-top-color',
1724                 'border-top-style',
1725                 'border-top-width',
1726
1727                 'border-spacing',
1728                 'border-collapse',
1729                 'caption-side',
1730
1731                 'color',
1732                 'font',
1733                 'font-family',
1734                 'font-size',
1735                 'font-style',
1736                 'font-variant',
1737                 'font-weight',
1738                 'letter-spacing',
1739                 'line-height',
1740                 'text-decoration',
1741                 'text-indent',
1742                 'text-align',
1743
1744                 'height',
1745                 'min-height',
1746                 'max-height',
1747
1748                 'width',
1749                 'min-width',
1750                 'max-width',
1751
1752                 'margin',
1753                 'margin-right',
1754                 'margin-bottom',
1755                 'margin-left',
1756                 'margin-top',
1757
1758                 'padding',
1759                 'padding-right',
1760                 'padding-bottom',
1761                 'padding-left',
1762                 'padding-top',
1763
1764                 'clear',
1765                 'cursor',
1766                 'direction',
1767                 'float',
1768                 'overflow',
1769                 'vertical-align',
1770                 'list-style-type',
1771         ) );
1772
1773         if ( empty($allowed_attr) )
1774                 return $css;
1775
1776         $css = '';
1777         foreach ( $css_array as $css_item ) {
1778                 if ( $css_item == '' )
1779                         continue;
1780                 $css_item = trim( $css_item );
1781                 $found = false;
1782                 if ( strpos( $css_item, ':' ) === false ) {
1783                         $found = true;
1784                 } else {
1785                         $parts = explode( ':', $css_item );
1786                         if ( in_array( trim( $parts[0] ), $allowed_attr ) )
1787                                 $found = true;
1788                 }
1789                 if ( $found ) {
1790                         if( $css != '' )
1791                                 $css .= ';';
1792                         $css .= $css_item;
1793                 }
1794         }
1795
1796         return $css;
1797 }
1798
1799 /**
1800  * Helper function to add global attributes to a tag in the allowed html list.
1801  *
1802  * @since 3.5.0
1803  * @access private
1804  *
1805  * @param array $value An array of attributes.
1806  * @return array The array of attributes with global attributes added.
1807  */
1808 function _wp_add_global_attributes( $value ) {
1809         $global_attributes = array(
1810                 'class' => true,
1811                 'id' => true,
1812                 'style' => true,
1813                 'title' => true,
1814                 'role' => true,
1815         );
1816
1817         if ( true === $value )
1818                 $value = array();
1819
1820         if ( is_array( $value ) )
1821                 return array_merge( $value, $global_attributes );
1822
1823         return $value;
1824 }