NEWS

   1 NEWS ( CHANGELOG and HISTORY )                                     HTMLPurifier
   2 |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
   3
   4 = KEY ====================
   5     # Breaks back-compat
   6     ! Feature
   7     - Bugfix
   8       + Sub-comment
   9     . Internal change
  10 ==========================
  11
  12 1.4.0, released 2007-01-21
  13 ! Implemented list-style-image, URIs now allowed in list-style
  14 ! Implemented background-image, background-repeat, background-attachment
  15   and background-position CSS properties. Shorthand property background
  16   supports all of these properties.
  17 ! Configuration documentation looks nicer
  18 ! Added %Core.EscapeNonASCIICharacters to workaround loss of Unicode
  19   characters while %Core.Encoding is set to a non-UTF-8 encoding.
  20 ! Support for configuration directive aliases added
  21 ! Config object can now be instantiated from ini files
  22 ! YouTube preservation code added to the core, with two lines of code
  23   you can add it as a filter to your code. See smoketests/preserveYouTube.php
  24   for sample code.
  25 ! Moved SLOW to docs/enduser-slow.html and added code examples
  26 - Replaced version check with functionality check for DOM (thanks Stephen
  27   Khoo)
  28 . Added smoketest 'all.php', which loads all other smoketests via frames
  29 . Implemented AttrDef_CSSURI for url(http://google.com) style declarations
  30 . Added convenient single test selector form on test runner
  31
  32 1.3.2, released 2006-12-25
  33 ! HTMLPurifier object now accepts configuration arrays, no need to manually
  34   instantiate a configuration object
  35 ! Context object now accessible to outside
  36 ! Added enduser-youtube.html, explains how to embed YouTube videos. See
  37   also corresponding smoketest preserveYouTube.php.
  38 ! Added purifyArray(), which takes a list of HTML and purifies it all
  39 ! Added static member variable $version to HTML Purifier with PHP-compatible
  40   version number string.
  41 - Fixed fatal error thrown by upper-cased language attributes
  42 - printDefinition.php: added labels, added better clarification
  43 . HTMLPurifier_Config::create() added, takes mixed variable and converts into
  44   a HTMLPurifier_Config object.
  45
  46 1.3.1, released 2006-12-06
  47 ! Added HTMLPurifier.func.php stub for a convenient function to call the library
  48 - Fixed bug in RemoveInvalidImg code that caused all images to be dropped
  49   (thanks to .mario for reporting this)
  50 . Standardized all attribute handling variables to attr, made it plural
  51
  52 1.3.0, released 2006-11-26
  53 # Invalid images are now removed, rather than replaced with a dud
  54   <img src="" alt="Invalid image" />. Previous behavior can be restored
  55   with new directive %Core.RemoveInvalidImg set to false.
  56 ! (X)HTML Strict now supported
  57   + Transparently handles inline elements in block context (blockquote)
  58 ! Added GET method to demo for easier validation, added 50kb max input size
  59 ! New directive %HTML.BlockWrapper, for block-ifying inline elements
  60 ! New directive %HTML.Parent, allows you to only allow inline content
  61 ! New directives %HTML.AllowedElements and %HTML.AllowedAttributes to let
  62   users narrow the set of allowed tags
  63 ! <li value="4"> and <ul start="2"> now allowed in loose mode
  64 ! New directives %URI.DisableExternalResources and %URI.DisableResources
  65 ! New directive %Attr.DisableURI, which eliminates all hyperlinking
  66 ! New directive %URI.Munge, munges URI so you can use some sort of redirector
  67   service to avoid PageRank leaks or warn users that they are exiting your site.
  68 ! Added spiffy new smoketest printDefinition.php, which lets you twiddle with
  69   the configuration settings and see how the internal rules are affected.
  70 ! New directive %URI.HostBlacklist for blocking links to bad hosts.
  71   xssAttacks.php smoketest updated accordingly.
  72 - Added missing type to ChildDef_Chameleon
  73 - Remove Tidy option from demo if there is not Tidy available
  74 . ChildDef_Required guards against empty tags
  75 . Lookup table HTMLDefinition->info_flow_elements added
  76 . Added peace-of-mind variable initialization to Strategy_FixNesting
  77 . Added HTMLPurifier->info_parent_def, parent child processing made special
  78 . Added internal documents briefly summarizing future progression of HTML
  79 . HTMLPurifier_Config->getBatch($namespace) added
  80 . More lenient casting to bool from string in HTMLPurifier_ConfigSchema
  81 . Refactored ChildDef classes into their own files
  82
  83 1.2.0, released 2006-11-19
  84 # ID attributes now disabled by default. New directives:
  85   + %HTML.EnableAttrID - restores old behavior by allowing IDs
  86   + %Attr.IDPrefix - %Attr.IDBlacklist alternative that munges all user IDs
  87     so that they don't collide with your IDs
  88   + %Attr.IDPrefixLocal - Same as above, but for when there are multiple
  89     instances of user content on the page
  90   + Profuse documentation on how to use these available in docs/enduser-id.txt
  91 ! Added MODx plugin <http://modxcms.com/forums/index.php/topic,6604.0.html>
  92 ! Added percent encoding normalization
  93 ! XSS attacks smoketest given facelift
  94 ! Configuration documentation now has table of contents
  95 ! Added %URI.DisableExternal, which prevents links to external websites.  You
  96   can also use %URI.Host to permit absolute linking to subdomains
  97 ! Non-accessible resources (ex. mailto) blocked from embedded URIs (img src)
  98 - Type variable in HTMLDefinition was not being set properly, fixed
  99 - Documentation updated
 100   + TODO added request Phalanger
 101   + TODO added request Native compression
 102   + TODO added request Remove redundant tags
 103   + TODO added possible plaintext formatter for HTML Purifier documentation
 104   + Updated ConfigDoc TODO
 105   + Improved inline comments in AttrDef/Class.php, AttrDef/CSS.php
 106     and AttrDef/Host.php
 107   + Revamped documentation into HTML, along with misc updates
 108 - HTMLPurifier_Context doesn't throw a variable reference error if you attempt
 109   to retrieve a non-existent variable
 110 . Switched to purify()-wide Context object registry
 111 . Refactored unit tests to minimize duplication
 112 . XSS attack sheet updated
 113 . configdoc.xml now has xml:space attached to default value nodes
 114 . Allow configuration directives to permit null values
 115 . Cleaned up test-cases to remove unnecessary swallowErrors()
 116
 117 1.1.2, released 2006-09-30
 118 ! Add HTMLPurifier.auto.php stub file that configures include_path
 119 - Documentation updated
 120   + INSTALL document rewritten
 121   + TODO added semi-lossy conversion
 122   + API Doxygen docs' file exclusions updated
 123   + Added notes on HTML versus XML attribute whitespace handling
 124   + Noted that HTMLPurifier_ChildDef_Custom isn't being used
 125   + Noted that config object's definitions are cached versions
 126 - Fixed lack of attribute parsing in HTMLPurifier_Lexer_PEARSax3
 127 - ftp:// URIs now have their typecodes checked
 128 - Hooked up HTMLPurifier_ChildDef_Custom's unit tests (they weren't being run)
 129 . Line endings standardized throughout project (svn:eol-style standardized)
 130 . Refactored parseData() to general Lexer class
 131 . Tester named "HTML Purifier" not "HTMLPurifier"
 132
 133 1.1.1, released 2006-09-24
 134 ! Configuration option to optionally Tidy up output for indentation to make up
 135   for dropped whitespace by DOMLex (pretty-printing for the entire application
 136   should be done by a page-wide Tidy)
 137 - Various documentation updates
 138 - Fixed parse error in configuration documentation script
 139 - Fixed fatal error in benchmark scripts, slightly augmented
 140 - As far as possible, whitespace is preserved in-between table children
 141 - Sample test-settings.php file included
 142
 143 1.1.0, released 2006-09-16
 144 ! Directive documentation generation using XSLT
 145 ! XHTML can now be turned off, output becomes <br>
 146 - Made URI validator more forgiving: will ignore leading and trailing
 147   quotes, apostrophes and less than or greater than signs.
 148 - Enforce alphanumeric namespace and directive names for configuration.
 149 - Table child definition made more flexible, will fix up poorly ordered elements
 150 . Renamed ConfigDef to ConfigSchema
 151
 152 1.0.1, released 2006-09-04
 153 - Fixed slight bug in DOMLex attribute parsing
 154 - Fixed rejection of case-insensitive configuration values when there is a
 155   set of allowed values.  This manifested in %Core.Encoding.
 156 - Fixed rejection of inline style declarations that had lots of extra
 157   space in them.  This manifested in TinyMCE.
 158
 159 1.0.0, released 2006-09-01
 160 ! Shorthand CSS properties implemented: font, border, background, list-style
 161 ! Basic color keywords translated into hexadecimal values
 162 ! Table CSS properties implemented
 163 ! Support for charsets other than UTF-8 (defined by iconv)
 164 ! Malformed UTF-8 and non-SGML character detection and cleaning implemented
 165 - Fixed broken numeric entity conversion
 166 - API documentation completed
 167 . (HTML|CSS)Definition de-singleton-ized
 168
 169 1.0.0beta, released 2006-08-16
 170 ! First public release, most functionality implemented. Notable omissions are:
 171   + Shorthand CSS properties
 172   + Table CSS properties
 173   + Deprecated attribute transformations