Jak ponechat pouze tag <br> přes htmlspecialchars()

Buď převádět \n jako <br>, nebo vytvořit bb kódy aby si mohli oddělovat řádky třeba přes [br], nebo před použitím htmlspecialchars změnit <br> třeba na [br] a to pak zase zpátky na <br> což by byla asi nejdelší metoda (nebo bez zálohy rovnou po htmlspecialchars převádět "&lt;br&gt;" na "<br>" třeba přes preg_replace nebo jinou převáděcí funkci - myslim že str_replace je snad ještě rychlejší, protože nerozebírá regulerní výraz).

Jaký je důvod v minidiskuzi pro povolení značky <br>?

„protože funkce strip_tags() není stoprocentní“
Proč se domníváte, že strip_tags není stoprocentní?

Já bych použil nl2br. Samozřejmě je to potřeba udělat až na úplný konec.

Enko:
„www.tjsd.cz/bezpecnost-php-aplikaci/ více viz zde“
tam se píše, že projde dovolený tag i s JS, je-li k němu JS přiložen. Pokud chceš povolit jen BR, tento problém se ho netýká.

Já ten dotaz oproti stoprocentnosti mířil tedy spíš na strip_tags bez povolených značek (bez ohledu na kontext dotazu). Tam je důvod k nepoužívání spíš v nežádoucím požírání HTML značek než bezpečnostní*.

Do <br> by možná něco škodlivého vložit jít nemělo, ale ruku do ohně bych za to nedal. Napadá mě třeba připojení škodlivého JS pomocí behavior.

V zadání skutečně je, že má být možno do textu ručně vkládat jen a pouze HTML značku <br>?

*) Ano, pokud se touto funkcí upravený text bude vypisovat na místě atributu, je možné vložit funkční kód. Plus může vzniknout nevalidní výstup.

Str4wberry:
„Tam je důvod k nepoužívání spíš v nežádoucím požírání HTML značek než bezpečnostní“
v pridavani prispevku zadne HTML byt nema (az na vyjimky, treba zde na diskusi BB cody a podobne), takze veskere pozirani je zadouci. Nema vzniknout jak nevalidni nebo jinak zavadny vystup, protoze z hlediska DOMu bude struktura stejna, jako by byl prispevek prazdny.

Požírání žádoucí není. Funkce strip_tags nevhodně požere třeba i „a<b“, nepůjde zapsat cokoliv vypadající jako HTML. Nevalidní výstup vytvoří třeba nezaentitované „<“ nebo „&“.