0

На сайте есть форма для комментариев, нужно дать пользователям вводить любые символы в эту форму и отсылать на сервер, можно было отфильтровать htmlspecialchars или подобными, но есть проблема. Так же есть проверка строки на наличие ссылок, если есть ссылка, то заменяем на кликабельную, тем самым ставим крест на безопасности. Подскажите, как грамотно сделать фильтрацию в данном случае? Комментарий перед добавлением в базу обрабатывается через эту функцию.

function replace_url($text)
{
    $text= preg_replace("/(^|[\n ])([\w]*?)((ht|f)tp(s)?:\/\/[\w]+[^ \,\"\n\r\t<]*)/is", "$1$2<a href=\"$3\" >$3</a>", $text);
    return $text;
}
1
  • решил проблему, пропустил сообщение сначала через htmlspecialchars и только потом через функцию замены url... невнимательность пораждает такие глупые вопросы)
    – dikardRus
    Commented 4 мар. 2012 в 4:49

3 ответа 3

2

С головой хватает одной функции mysql_real_escape_string(). А регулярку тут применять - вообще смысла не вижу

4
  • 1
    Да? А как на счет <script>alert(/hello/)</alert>?
    – dikardRus
    Commented 3 мар. 2012 в 18:57
  • 1
    Ну и ?))) Что ж такого произойдёт? Я вам скажу - ничего! UPD: А если вам надо, чтоб вносимый код отображался, надо к вышеупомянутой функции добавить htmlspecialchars() и stripslashes(). Тогда ваш код <script>alert(/hello/)</alert> выведется один к одному, как вы его вводили
    – Deonis
    Commented 3 мар. 2012 в 19:06
  • 2
    UPD: А если вам надо, чтоб вносимый код отображался, надо к вышеупомянутой функции добавить htmlspecialchars() и stripslashes(). Тогда ваш код <script>alert(/hello/)</alert> выведется один к одному, как вы его вносили
    – Deonis
    Commented 3 мар. 2012 в 19:25
  • 1
    Если использовать только mysql_real_escape_string(), то скрипт добавится в базу в таком виде, в каком он есть, и при выводе комментария на страницу отработает этот код JS (выдаст окно alert с текстом hello)... В моем случае использование htmlspecialchars порушит функцию замены url, и на страницу комментариев выдаст код <a href="#">Ссылка</a> вместо просто "Ссылка", т.к. все спец символы будут преобразованы.
    – dikardRus
    Commented 4 мар. 2012 в 4:02
0

А почему бы не использовать стандартную функцию striptags? там можно указать теги, которые можно разрешить, если нужны.

К примеру strip_tags ( $string, 'img, ul, li'); В переменной $string уберутся все теги, кроме картинок и ul li.

1
  • нужно чтоб пользователь мог написать что угодно, хоть php код полностью хоть ява и т.д. без запрета тегов, но чтоб код не повлиял на БД и безопасность сайта
    – dikardRus
    Commented 3 мар. 2012 в 18:10
0

При записи - mysql_real_escape_string(), при выводе - htmlspecialshars().

Не правильно сначала обрабатывать, потом записывать. Нужно записать исходное, а при выводе обрабатывать, что Вы будете делать если Вам нужно будет изменить обработчик ссылок, например?

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.