1

Есть довольно тривиальная задача, но какого-то универсального рецепта пока не нашел.

Итак. Пользователь в блоге вводит текст, текст сохраняется в базе и выводится на странице блога. Все бы хорошо, но возникают вопросы с тегами HTML - с одной стороны, хочется предоставить достаточно свободы пользователю для оформления текста, чтобы он мог вставить, например, ролик с youtube. Но, с другой стороны, не дать пользователю нарушить всю разметку на сайте, встроить какой-то вредный javascript и т.д.

Допустим, мы экранируем все символы, а потом "разэкранируем" теги вроде i, b, h1 и т.д. Но что делать со скриптами?

Еще нюанс, хочется дать возможность редактировать текст прямо на той же странице, где он и лежит - взять текст из контейнера, подменить его инпутом с этим текстом - задача не сложная. Но у нас уже одни символы экранированы, другие нет - экранировать все заново значит окончательно испортить текст.

Какие подходы вы используете и какие считаете лучшими?

3 ответа 3

1

Чтобы решить вопрос с незакрытыми тегами в PHP5 есть библиотека tidy. Она предназначена для того чтобы преобразовывать контент в валидный формат (html, xhtml). А, также, умеет проставлять закрывающие теги если их где-то нет.

Для того чтобы заблокировать возможность использования каких-то тегов и их некоторых атрибутов можно использовать библиотеку Jevix. Это фильтр html-контента. Умеет вырезать теги, атрибуты, блоки тегов. Плюс, как бонус, умеет делать типографическую обработку текста.

4
  • Ну если уж затрагивать язык программирования, то мне интереснее скорее Python и Django. Конечно, можно использовать библиотеки, вроде BeautyfulSoup, но хочется узнать какое-то общее решение, стратегию, если угодно. Пока варианты - вырезать все теги кроме "дозволеных" и затем проверять корректность разметки с помощью библиотек или вообще использовать другой язык разметки.
    – hakimovis
    18 янв 2012 в 7:49
  • 1
    К сожалению, по Python и Django ничего сказать не могу. Не использую. На счет стратегии: юзер отправляет блогозапись; сервер принимает контент, закрывает неумышленно/умышленно незакрытые теги, вырезает "лишний" контент, и пишет отфильтрованный вариант в базу.
    – KiTE
    18 янв 2012 в 7:54
  • Записать в базу это половина вопроса. Например, в тексте попался урл. Показывать его, разумеется, надо в виде настоящего кликабельного урла, но для редактирования лучше показывать обычную текстовую ссылку. Какой вариант хранить в базе? Когда производить обработку текста - перед тем как показать или перед тем как отдать на редактирование? На чьей стороне - клиента или сервера?
    – hakimovis
    18 янв 2012 в 8:37
  • 1
    Разумеется, В базе нужно хранить отфильтрованный контент. Фильтровать его нужно перед записью в базу. Зачем каждый раз при выводе нагружать сервер фильтрацией. Пользовательский вариант нужен только если в перспективе интересует анализ ошибок пользовательского ввода. На счет урлов: на мой взгляд лучше этот случай отдать на откуп пользователю. Обычно, редактор блогозаписей предполагает как минимум какую-то панель инструментов, где и должна быть кнопка для оборачивания куска текста в ссылку. Кроме того, часто, такие вещи делаются через JavaScript-библиотеки типа TinyMCE.
    – KiTE
    18 янв 2012 в 9:23
1

Если вам так не нравятся bb-коды, напишите свой вариант. Общая мысль в том, что пользователь не работает с html напрямую, а лишь размечает, что в тексте преобразовывать в html. А при обработке текста (выводе на страницу) преобразуются лишь те конструкции, которые удовлетворяют неким "правилам безопасности".

1

Для таких уникальных вещей как javascript код - лучше использовать специальные кнопки, где уже, после preg_match например, разрешать или запрещать код.

Для всего остального использовать strip_tags ( string $str [, string $allowable_tags ] ) c Вашим списком разрешенных тегов $allowable_tag.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.