Autor Zpráva
Mastodont
Profil
Někdy v září jsem se tu ptal na vaše zkušenosti s HTML Purifier, a kupodivu žádná odpověď ..

Co tedy používáte proti XSS? Mám na mysli situace, kdy chci uživateli povolit vkládat HTML do komentářů apod.
Jan Tvrdík
Profil
Mastodont
Záleží, jak moc toho HTML chceš povolit. Jestli stačí bold a italic, nebo jestli chceš povolit i divy, css...
Mastodont
Profil
Ano, to je důležitý faktor. Dejme tomu, že jde obecně o HTML. Pro psaní je k dispozici nějaké urychlovátko typu Textile a výsledný obsah je uložen jako HTML. Což samozřejmě přímo láká k tomu, aby se do textu vložil nějaký skriptík.

Osobně se mi líbí právě ten Purifier, co jsem ho zkoušel, tak se mi jeví jako hodně dobrý. Ale samozřejmě bych rád znal názory dalších ...
Leo
Profil
"Dejme tomu, že jde obecně o HTML. Pro psaní je k dispozici nějaké urychlovátko typu Textile a výsledný obsah je uložen jako HTML. Což samozřejmě přímo láká k tomu, aby se do textu vložil nějaký skriptík."

Nevim, jak presne pracuje Textile, ale pokud vim pouziva nejake pseudoznacky. Postup je obvykle ten, ze se jakekoliv tagy zrusi pres strip_tags(), a pak se pres regularni vyrazy nahrazuji pseudoznacky, treba *neco* na <b>neco</b>. Leo
Mastodont
Profil
Postup je obvykle ten, ze se jakekoliv tagy zrusi pres strip_tags(), a pak se pres regularni vyrazy nahrazuji pseudoznacky

No nevím, ale třeba Texy umožňuje psát přímo HTML. Markdown to samé, Wikitext taky. Sice třeba ne všechy tagy, ale něco povoleno je.
Leo
Profil
"No nevím, ale třeba Texy umožňuje psát přímo HTML. Markdown to samé, Wikitext taky. Sice třeba ne všechy tagy, ale něco povoleno je."

strip_tags umoznuje nektere tagy povolit. Otazka je, jestli tvurci daneho systemu vedi, co delaji, zvlast u odkazu... Leo
Timy
Profil
Texy! mívá obvykle zapnutou podporu HTML tagů jen třeba v administraci, když píšete články – někde, kde se očekává vstup od uživatele, to povolené nebývá.

Vaše odpověď

Mohlo by se hodit


Prosím používejte diakritiku a interpunkci.

Ochrana proti spamu. Napište prosím číslo dvě-sta čtyřicet-sedm: