Безопасность работы с html

Необходимо обработать html код который пришлет пользователь и записать его в файл. В том виде котором он есть, без замены тегов, сущностей и тд..

Вопрос, что на счет безопасности. Как быть с безопасностью?

Для сохранения данных присланных от пользователей в html формате использую эту старенькую, но вполне рабочую библиотеку Jevix https://bitbucket[dot]org/ur001/jevix/wiki/Home

Описание того, что она делает и где используется можно почитать перейдя по ссылке.

Данная библиотека работает с html который был переведен в сущности, вернет все теги назад?

То есть с html который был пропущен через htmlspecialchars...

(Отредактировано автором: 18 Февраля, 2016 - 12:03:30)

Нет. Не нужно никакие htmlspecialchars.

Используя эту библиотеку, Вы задаете правила по которым она фильтрует входящий HTML.
А действует она по принципу: "Все не разрешенные теги считаются запрещенными"

На выходе у вас будет безопасный HTML без экранирований и т.п.

А как обстоят дела со стилями с css, что если необходимо получить пользовательские стили.

Со стилями тоже умеет работать? Только в тег необходимо обременить <style>тут пользовательские стили</style>
(Добавление)

зачем труп сношать?

htmlpurifier.org

-----
Список фильмов с описанием, блекджеком и... для Joomla? -> https://киноархив[dot]com
Демо нового движка для сайта php.su -> php[dot]su, проект на гитхабе

Блин только разобрался...

Так, htmlpurifier.org эта библиотека все же лучше?

Объясните люди добрые в чем заключается опасность просто запихать html код который пришлет пользователь в файл?

TuX560, о, наконец разумный вопрос.
Та никакой. Принял - сохранил как есть. Минимум кода, минимум проблем.
Скользкий момент может быть только с тем, что с этим файлом происходит потом. Если его надо отдавать обратно пользователям - то его нельзя отдавать как text/html. Форсирование plain text или octet-stream хороший вариант. И, разумеется, этот файл не должен попадать какому-нибудь серверному интерпретатору, тому же PHP.
И соответственно вопрос должен звучать - есть html, которых приходит от пользователя. Я хочу с ним сделать X. На какие грабли обратить внимание?

-----
PostgreSQL DBA

Ок, спс.

Необходимо будет отдавать html другим пользователям на сайте. Кто знает, быть может кто нибудь запихает скрипт и тд...


У меня такой вопрос по библиотеке htmlpurifier, в доках http://htmlpurifier[dot]org/docs
Не могу найти конфиг, который бы разрешал теги input, по умолчанию он их удаляет...

Не подскажите как это сделать?
(Добавление)
$config->set('Core', 'HiddenElements', array ('input'=>true));

Не рабоает
(Добавление)
Мужики, нужна помощь

(Отредактировано автором: 19 Февраля, 2016 - 00:03:59)

Тогда другой вопрос, а зачем html принимать от пользователя и отдавать его другим? Для простого форматирования есть BBCode и другие методы безопасного форматирования(на мой взгляд свою не долго/не сложно написать). Не отрицаю мы лишим свободы наших пользователей писать html, но уже точно обезопасим без всяких проблем. Просто не могу представить зачем действительно необходимо получать от обычных пользователей куски html.

ЗЫ: К сожалению по заданным тобой вопросам ничем не могу помочь, тк не сталкивался с этим.

Зачем и в каком виде?

-----
PostgreSQL DBA

Сложные структуры через bbcode = попаболь. Костылезация с тонной регулярок?

-----
Список фильмов с описанием, блекджеком и... для Joomla? -> https://киноархив[dot]com
Демо нового движка для сайта php.su -> php[dot]su, проект на гитхабе

Я к тому что есть ли смысл позволять пользователям отправлять сложные html структуры(есть большое сомнение что преобладающее большинство этим пользоваться вероятнее всего не будет). К тому же есть альтернативные методы безопасной разметки, к примеру вики-разметка, если не ошибаюсь, не позволяет вставлять скрипты.

Зависит от случая.
вики-разметка ещё тот геморой. Такая же "удобная" как и markdown.

-----
Список фильмов с описанием, блекджеком и... для Joomla? -> https://киноархив[dot]com
Демо нового движка для сайта php.su -> php[dot]su, проект на гитхабе