Вопрос

Привет.
Такой вопрос, поставил на самописный сайт визуальный редактор - CKEditor.

Такой вопрос, в базу он записывает html, туда записываю через htmlspecialchars. А как правильно выводить из базы? А то переживаю что какой-то пользователь введет туда javscript. Что подскажите?

Я так делаю:

в CKEditor есть настройки (если нет, то сделай)

вырезает всё
config.allowedContent = true;
и вырезаем по регулярке. в данном примере script
config.protectedSource.push( /<script[\s\S]*?script>/g );

(Отредактировано автором: 30 Января, 2015 - 15:18:01)

-----
Система управления веб-содержимым Lotos CMS

http://htmlpurifier[dot]org/
И уж если собрались использовать визуальные редакторы то незачем пользоваться функцией htmlspecialchars

CKEditor работает на клиенте. Пользователь всегда может выключить его и ввести произвольный html код.

Тогда вообще причём тут CKEditor? Пришли данные с сервера (пофиг как они там формировались) и приводи текст в порядок: удаляй не нужные теги, пробелы, символы.. Тем более если данные в базу записаны "безопасно", то какая может быть беда при их выводе и отправке клиенту?

-----
Система управления веб-содержимым Lotos CMS

GoDr
Пользователь Ch_chov указал лишь на то, что даная опция толком ничего и не даст для безопасности. А вот на счет серверной стороны ссилка в моем посте више

В базу можно совершенно "безопасно" записать некий javascript код, пришедший от клиента, а потом вывести на страницу, где он уже не будет таким безопасным.

event, действуем по-принципу "запрещено все, кроме разрешенного". Приходящие данные перед записью в базу немного почистим - скармливаем функции strip_tags, передавая вторым параметром разрешенные теги.

-----
Чем больше узнаю, тем больше я не знаю.

что-то как-то натянуто за уши Зачем изначально записывать в базу код,который при выводе будет опасным? Я что-то даже не могу представить такую ситуацию. Обычно фильтруют данный при входе и записи, но не при получении и передачи

Ну а с другой стороны, htmlspecialchars() превращает всё в сущности. И если вытащить это из базы и вывести на экран, то любой скрипт просто напечатается на экране, а не выполнится.
и будет вместо

это

-----
Система управления веб-содержимым Lotos CMS

Потому что при выводе куда?
Для HTML своё преобразование, для JSON - другое, для CSV - третье. А можно и вовсе plain/text. Последним трём спецсущности HTML нафиг не нужны.

-----
PostgreSQL DBA

Мелкий, согласен
А ещё согласен что мы 1+1 решаем через интегралы

Тогда задача не совсем грамотно поставлена. Особеннои заметьте, не сказано что с этим делать дальше

(Отредактировано автором: 30 Января, 2015 - 18:04:34)

-----
Система управления веб-содержимым Lotos CMS

Многие делают делают как раз наоборот.

Ch_chov, ну понятно.. бывает и такое, но объясните мне, зачем??? Как минимум - это избыточный контент, а как результат нагрузка и на сервер и на базу

-----
Система управления веб-содержимым Lotos CMS

В общем случае фильтрация содержимого это не просто удаление опасных тегов. В зависимости от контекста могут быть и другие задачи. На примере, этого форума:

• BB код -> HTML код
  
• Текстовая ссылка -> Гиперссылка
  
• Текстовые смайлы -> Графические смайлы

На других сайтах могут быть другие фильтры.

Если эти преобразования выполнять при вводе, то впоследствие уже не будет возможности редактировать соощения. Потому что BB код уже преобразован в HTML. Можете рассматривать это как исходный текст (то что в базе хранится) и скомпилированный текст (то что в браузер выносится). Соответственно если вы скомпилируте текст сразу при вводе, у вас не будет возможности полноценно его редактировать.
Обратная сторона такого подхода, это необходимость обрабатывать текст каждый раз при выводе в браузер. Обычно кэширование решает эту проблему.
(Добавление)
http://stackoverflow[dot]com/questio[dot][dot][dot]-input-vs-output

ты привёл очень специфичный пример, хотя он имеет место быть.. Что касается кеширования.. так кеширование поможет всегда

А с другой стороны, если я создаю форум, то я не планирую потом из него сделать блог. У форума есть свои правила, тот же BB-код. Даже если первоначальный контент испорчен, то в любом случае из него можно сделать "конфетку". Нет же проблем [ b ] превратить в < b >

Есть конечно один вариант.. собирать контент как он есть, а потом думать что с ним делать

В общем ответов на этот вопрос в избытке.. даже философии много

-----
Система управления веб-содержимым Lotos CMS