1

Делаю защиту на сайте. Задумался над вопросом, где делать htmlspecialchars?

Мои варианты:

1) Сразу перед добавлением в базу

2) Перед тем как выводить в шаблон

3) В самом шаблоне

Какой вариант самый оптимальный? Есть ли еще? Насколько я могу судить, большинство используют третий. Но в третьем приходится надеяться на верстальщика, а он может и ошибиться.

2 ответа 2

3

Оптимальнее всего заготовить метод при открытии базы построчно перебирающий элементы массива попутно используя htmlspecialchars, но иногда лучше контролировать выхлоп по мере надобности(к примеру может возникнуть запара с JSON из-за кодировки и т.п.) Поэтому, как говориться, дорога ложка к обеду.

2

простите, что? Вы знаете что делает эта функция? htmlspecialchars() Вы уверены, что вам эта функция нужна? к шаблонам она отношения не имеет. Она подойдет для вывода html сущностей на экран либо для записывания html тэгов в базу.


Вообщем, на данный момент я бы делал так:

  • Верем то, что ввел пользователь;
  • Вырезаем script, javasctipt;
  • Обрабатываем функцией strip_tags(), оставляя только разрешенные тэги;
  • Обрабатываем функцией htmlspecialchars() оставшееся;
  • Запихиваем в базу.

Для вывода обратно, достаем, возвращаем теги наместо и выводим.

9
  • Ну так ведь шаблоны - это и есть вывод на экран, нет? 18 июл 2013 в 21:47
  • Не понял вас. Вопрос в том, где экранировать HTML для защиты от XSS. Непосредственно перед добавлением HTML в базу, когда достаем из базы или же когда выводим (в шаблоне).
    – CocaCola
    18 июл 2013 в 22:04
  • а при доставании и выводе вам зачем это делать? то ли я идею не понимаю, толи вы не пробовали вывести данные после применения этой функции. после этой функции у вас на экране будет так как если бы вы открыли в редакторе html файл. эта функция отлично подойдет, если вы хотите вывести на экран пользователя этот html для редактирования.
    – thunder
    19 июл 2013 в 8:24
  • 1
    Скорее всего вы не понимаете идею. Я программирую довольно давно и результат этой функции отлично знаю. Когда данные в базу данных попадают от пользователей, они могут содержать HTML теги, в том числе вредоносный код, вроде какого-нибудь скрипта. При последующем выводе на экран надо все теги экранировать, чтобы браузер пользователей не выполнил вредоносный код. И тут вопрос, где это лучше сделать. Хранить теги в базе данных уже экранированными, либо перед тем как отправлять данные в шаблон, либо в самом шаблоне.
    – CocaCola
    19 июл 2013 в 8:41
  • а, вот так понятнее :) Хотя тогда, раз вы знаете как работает функция, не понятно откуда 2 последних пункта появилось :) Видимо есть чтото еще. Тогда зависит от того какие данные вообще надо хранить в БД. Например для новостей я код хранил в БЖ со всеми тегами, предварительно вырезав из него все (регулярки в помощь), что связано с script, javascript, и после чего обработав его htmlentities.
    – thunder
    19 июл 2013 в 8:51

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.