Использую WYSIWYG редактор для редактирования статей другими пользователями, в нём можно вставлять HTML-теги... Так можно же вставить какой-нибудь вредоносный код... Как обезопасить сайт?
1 ответ
не все редакторы дают пользовательям добавлять коды и стили. К примеру
не дает пользоваться тегами как <script>
или атрибутами style
имеются настройки тегов. что можно и чего нельзя.
другой вариант
HTML Purifier - зашита скриптов и xss атак.
но для самозащиты попробуйте strip_tags($str, $allowedtags)
-
2strip_tags - весьма слабенькая защита, если оставлять какие-то теги. Он не фильтрует аттрибуты. А вот с пурифайером я вас абсолютно поддерживаю. Именно он и подобные инструменты помогут спасти от проникновения вредоноса на сайт. 19 авг 2015 в 5:31