Как правильно написать regex?

Question

[xaknet]

Ребят, какое правило regex задать для :
1) допустимы слова начинающиеся только с символами - или + с допустимыми словами как через нижний прочерк так и без прочерка. Также допустимы запятые после слова. Пример ниже:

+first_name OR
-first_name,+email,-last_name
+email
и тд.

Идея в том чтобы сортировать данные по ссылке

example.com/meeting?sort=+email,-first_name
example.com/meeting?sort=+first_name

Answer 1

[Ипатьев]

Если я правильно понял вопрос, то тут не нужна никакая регулярка.
разбить по запятым, потом взять первый символ каждого элемента - это будет либо плюс, либо минус, либо ошибка
оставшиеся элементы пробить по заранее прописанному массиву.

А чтобы получить помощь с регуляркой, надо запрашивать именно помощь: то есть делать что-то самому, и просить чтобы тебе помогли. А не просить, чтобы все сделали за тебя. Тогда это называется не помощь, а благотворительность.

Comments

[xaknet]

думал делать без регулярки, может кто сталкивался с данной задачей, но еще момент в том чтобы не допускать вставку < script > в ссылку, игнорить через регулярку

[Ипатьев]

при чем здесь вообще какие-то < script >? Зачем эта глупость? никаких проверок для этого делать не надо.
Вы прочли, что у меня в ответе написано? Откуда там этот скрипт возьмется?

[xaknet]

Ипатьев,

Для безопасности!
www.example.com/house?sort=-name,< script >alert("TESTTT")< / script >

[xaknet]

Ипатьев, вот регулярка [\w+\*$\-+_a-zA-Z]\w+[^(?!<.?)(script)(?!.?>)] для игнора script и принятия значений с +- до разбития на массив через ,

[xaknet]

или же еще возможен такой вариант:

www.example.com/house?sort=< script >alert("TESTTT")< / script >

[v3shin]

xaknet, htmlspecialchars перед выводом?

[Ипатьев]

v3shin, зачем?

[Ипатьев]

xaknet, Вы читали мой ответ? Откуда там этот скрипт возьмется?

[xaknet]

v3shin, htmspecialchars не нужно там

[Ипатьев]

xaknet, нужно. htmspecialchars везде нужно.

[xaknet]

Ипатьев, если вдруг злоумышленник, введет не в правильном формате или вызовет скрипт, от туда и может взяться

[Ипатьев]

Вообще, ловить какое-то одно слово - это совсем какая-то непроходимая глупость. Кроме этого несчастного < script > есть ещё примерно 100500 офигиллиардов способов взлома.

Надо писать код так, чтобы ему вообще никакие попытки взлома были не страшны. А не блох ловить, типа union, script, /etc/passwd и прочие глупости

[xaknet]

Ипатьев, скорее всего так и сделаю, создам заранее массив , по которому будет исходить дальнейшая валидация, еще проблема в том что символ + декодиться в пробел

[Ипатьев]

Вот это правильно. Это надо делать в любом случае, чтобы не передавать кривые имена колонок. А заодно это и отсечет все скрипты и вообще любые попытки взлома.

[xaknet]

Ипатьев, благодарю

[Ипатьев]

+ действительно декодится в пробел, поэтому все параметры в query string надо кодировать в urlencode()
это так же обязательно, как кодировать весь вывод в htmlspecialchars