Как на сервере проверить строку на отсутствие в ней js-кода?

Question

[tyxeo]

в приложении на клиенте создается и после сохраняется на сервере innerHTML-строки
и с сервера эти строки загружаются обратно на клиент

в этих строках изначально нет и не должно быть никакого js-кода
но злоумышленник может внедрить код в html-документ

как на стороне сервера средставами php проверить наличие js-кода?

ищу простое решение в виде функции

Comments

[Everything_is_bad]

гугли html sanitizer

Answer 1

[DevMan]

htmlpurifier.org

Comments

[tyxeo]

слишком сложно

ищу простое решение
наверное будет достаточно определить есть ли в строке такие подстроки:

<script> 
onclick

[Everything_is_bad]

tyxeo, это не то место, где надо свои косыли вставлять и от чего это вдруг использование санитайзеров стало "слишком сложно", простейшие же действия.

[Сергей delphinpro]

tyxeo,

наверное будет достаточно определить есть ли в строке такие подстроки

это, конечно просто. просто сделайте их не валидными и код в них не будет выполняться

str_replace('<script' , '<s-cript', $str);
str_replace('onclick' , 'on-click', $str);

Но на самом деле, код может быть встроен в любой стандартный атрибут - onkeydown, onfocus, onmousemove и т.п. Так что простыми средствами вы вряд ли обойдетесь.

[ProjectSoft]

tyxeo, зачем изобретать велосипед?
strip_tags определяйте, что разрешить.

[DevMan]

ProjectSoft, ога, а как с инлайн–скриптами?

[ProjectSoft]

DevMan, а какая разница?
Если вам нужны определённые теги - перечислите их. Всё остальное удаляется.
Например:
$result = strip_tags($text, '<p><a>');
Ну а дальше можно пробежаться регуляркой для удаления ненужных атрибутов. И здесь нет ничего сложного.
Регулярку можно составить здесь - https://regex101.com/

[DevMan]

ProjectSoft, если было не понятно сразу, то педалить бесполезно.
чтоб немного включить твой мозг, скрипт можно прописать на события.
а это атрибут, не тег.

[ProjectSoft]

чтоб немного включить твой мозг, скрипт можно прописать на события

Мальчик, может ты включишь свой, а заодно и глаза протрёшь?

Ну а дальше можно пробежаться регуляркой для удаления ненужных атрибутов. И здесь нет ничего сложного.

Что в этой строке не понятного???

PS:
А вообще, бери функцию и тести, добивайся результата. За тебя никто, ничего и никогда делать не будет. Тебе дали абсолютно стандартное рабочее решение.

[DevMan]

ProjectSoft, что ты глупыш, предлагающий регэкспы для разбора html.

[ProjectSoft]

DevMan, где ты это увидел? Пробежаться регуляркой для удаления оставшегося?
Так чем же лучше тащить библиотеку в composer, которая так же пробежит регулярками? При этом полностью библиотека использована не будет даже на 5%.
Глупышом ты меня можешь назвать, только посмотри на себя...

strip_tags удалит всё. Оставить что разрешить - твой выбор. Вот и определи, как победить инлайн скрипты. Я не вижу ничего сложного.

[DevMan]

совсем притрушенный?

для разбора html используются не мифические библиотеки через композер, а банальный DOM, который в ядре.

неучи с курсов.