NEWS

   1 NEWS ( CHANGELOG and HISTORY )                                     HTMLPurifier
   2 |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
   3
   4 = KEY ====================
   5     # Breaks back-compat
   6     ! Feature
   7     - Bugfix
   8       + Sub-comment
   9     . Internal change
  10 ==========================
  11
  12 1.4.0, unknown release date
  13 (major feature release)
  14
  15 1.3.1, unknown release date
  16 (security/bugfix release)
  17
  18 1.3.0, released 2006-11-26
  19 # Invalid images are now removed, rather than replaced with a dud
  20   <img src="" alt="Invalid image" />. Previous behavior can be restored
  21   with new directive %Core.RemoveInvalidImg set to false.
  22 ! (X)HTML Strict now supported
  23   + Transparently handles inline elements in block context (blockquote)
  24 ! Added GET method to demo for easier validation, added 50kb max input size
  25 ! New directive %HTML.BlockWrapper, for block-ifying inline elements
  26 ! New directive %HTML.Parent, allows you to only allow inline content
  27 ! New directives %HTML.AllowedElements and %HTML.AllowedAttributes to let
  28   users narrow the set of allowed tags
  29 ! <li value="4"> and <ul start="2"> now allowed in loose mode
  30 ! New directives %URI.DisableExternalResources and %URI.DisableResources
  31 ! New directive %Attr.DisableURI, which eliminates all hyperlinking
  32 ! New directive %URI.Munge, munges URI so you can use some sort of redirector
  33   service to avoid PageRank leaks or warn users that they are exiting your site.
  34 ! Added spiffy new smoketest printDefinition.php, which lets you twiddle with
  35   the configuration settings and see how the internal rules are affected.
  36 ! New directive %URI.HostBlacklist for blocking links to bad hosts.
  37   xssAttacks.php smoketest updated accordingly.
  38 - Added missing type to ChildDef_Chameleon
  39 - Remove Tidy option from demo if there is not Tidy available
  40 . ChildDef_Required guards against empty tags
  41 . Lookup table HTMLDefinition->info_flow_elements added
  42 . Added peace-of-mind variable initialization to Strategy_FixNesting
  43 . Added HTMLPurifier->info_parent_def, parent child processing made special
  44 . Added internal documents briefly summarizing future progression of HTML
  45 . HTMLPurifier_Config->getBatch($namespace) added
  46 . More lenient casting to bool from string in HTMLPurifier_ConfigSchema
  47 . Refactored ChildDef classes into their own files
  48
  49 1.2.0, released 2006-11-19
  50 # ID attributes now disabled by default. New directives:
  51   + %HTML.EnableAttrID - restores old behavior by allowing IDs
  52   + %Attr.IDPrefix - %Attr.IDBlacklist alternative that munges all user IDs
  53     so that they don't collide with your IDs
  54   + %Attr.IDPrefixLocal - Same as above, but for when there are multiple
  55     instances of user content on the page
  56   + Profuse documentation on how to use these available in docs/enduser-id.txt
  57 ! Added MODx plugin <http://modxcms.com/forums/index.php/topic,6604.0.html>
  58 ! Added percent encoding normalization
  59 ! XSS attacks smoketest given facelift
  60 ! Configuration documentation now has table of contents
  61 ! Added %URI.DisableExternal, which prevents links to external websites.  You
  62   can also use %URI.Host to permit absolute linking to subdomains
  63 ! Non-accessible resources (ex. mailto) blocked from embedded URIs (img src)
  64 - Type variable in HTMLDefinition was not being set properly, fixed
  65 - Documentation updated
  66   + TODO added request Phalanger
  67   + TODO added request Native compression
  68   + TODO added request Remove redundant tags
  69   + TODO added possible plaintext formatter for HTML Purifier documentation
  70   + Updated ConfigDoc TODO
  71   + Improved inline comments in AttrDef/Class.php, AttrDef/CSS.php
  72     and AttrDef/Host.php
  73   + Revamped documentation into HTML, along with misc updates
  74 - HTMLPurifier_Context doesn't throw a variable reference error if you attempt
  75   to retrieve a non-existent variable
  76 . Switched to purify()-wide Context object registry
  77 . Refactored unit tests to minimize duplication
  78 . XSS attack sheet updated
  79 . configdoc.xml now has xml:space attached to default value nodes
  80 . Allow configuration directives to permit null values
  81 . Cleaned up test-cases to remove unnecessary swallowErrors()
  82
  83 1.1.2, released 2006-09-30
  84 ! Add HTMLPurifier.auto.php stub file that configures include_path
  85 - Documentation updated
  86   + INSTALL document rewritten
  87   + TODO added semi-lossy conversion
  88   + API Doxygen docs' file exclusions updated
  89   + Added notes on HTML versus XML attribute whitespace handling
  90   + Noted that HTMLPurifier_ChildDef_Custom isn't being used
  91   + Noted that config object's definitions are cached versions
  92 - Fixed lack of attribute parsing in HTMLPurifier_Lexer_PEARSax3
  93 - ftp:// URIs now have their typecodes checked
  94 - Hooked up HTMLPurifier_ChildDef_Custom's unit tests (they weren't being run)
  95 . Line endings standardized throughout project (svn:eol-style standardized)
  96 . Refactored parseData() to general Lexer class
  97 . Tester named "HTML Purifier" not "HTMLPurifier"
  98
  99 1.1.1, released 2006-09-24
 100 ! Configuration option to optionally Tidy up output for indentation to make up
 101   for dropped whitespace by DOMLex (pretty-printing for the entire application
 102   should be done by a page-wide Tidy)
 103 - Various documentation updates
 104 - Fixed parse error in configuration documentation script
 105 - Fixed fatal error in benchmark scripts, slightly augmented
 106 - As far as possible, whitespace is preserved in-between table children
 107 - Sample test-settings.php file included
 108
 109 1.1.0, released 2006-09-16
 110 ! Directive documentation generation using XSLT
 111 ! XHTML can now be turned off, output becomes <br>
 112 - Made URI validator more forgiving: will ignore leading and trailing
 113   quotes, apostrophes and less than or greater than signs.
 114 - Enforce alphanumeric namespace and directive names for configuration.
 115 - Table child definition made more flexible, will fix up poorly ordered elements
 116 . Renamed ConfigDef to ConfigSchema
 117
 118 1.0.1, released 2006-09-04
 119 - Fixed slight bug in DOMLex attribute parsing
 120 - Fixed rejection of case-insensitive configuration values when there is a
 121   set of allowed values.  This manifested in %Core.Encoding.
 122 - Fixed rejection of inline style declarations that had lots of extra
 123   space in them.  This manifested in TinyMCE.
 124
 125 1.0.0, released 2006-09-01
 126 ! Shorthand CSS properties implemented: font, border, background, list-style
 127 ! Basic color keywords translated into hexadecimal values
 128 ! Table CSS properties implemented
 129 ! Support for charsets other than UTF-8 (defined by iconv)
 130 ! Malformed UTF-8 and non-SGML character detection and cleaning implemented
 131 - Fixed broken numeric entity conversion
 132 - API documentation completed
 133 . (HTML|CSS)Definition de-singleton-ized
 134
 135 1.0.0beta, released 2006-08-16
 136 ! First public release, most functionality implemented. Notable omissions are:
 137   + Shorthand CSS properties
 138   + Table CSS properties
 139   + Deprecated attribute transformations