Хранение редактируемого пользователем и исполняемого в браузере JavaScript в БД. Какие могут быть проблемы?

Question

[MAXH0]

Итак, хочу сделать для своих учеников возможность on-line обучения. Для этого необходимо их код сохранять в БД и выполнять в их и моем браузере. Что следует учесть?

Answer 1

[nill]

Код храните в любой бд, а у себя исполняйте через eval(). При использовании eval() нужно учитывать, что вы исполняете их js код, который может содержать малварь или пытать стащить куки, поэтому «чувствительные» функции можно отсекать регулярными выражениями.

Comments

[MAXH0]

Как выполнять вообще не проблема… Вопрос именно в том ЧТО фильтровать. И насколько код после отправление в базу стандартными функциями PHP будет работать.

В общем, модерация учителем как бы спасет от злобных школьников — «хакеров», но минимальную защиту хотелось бы прикрутить!

[Anton Bobylev]

Если не хотите долго заморачиваться с проверками и не особо жалко ресурсов попробуйте оборачивать все в base64 перед записью в БД.

Answer 2

[Anton Bobylev]

Насколько критично хранить код именно в БД?

Почему бы не воспользоваться jsfiddle.net и хранить ссылку?

Comments

[MAXH0]

Спасибо за совет… у меня несколько другая идея.

Answer 3

[werdender]

Если вопрос в контексте безопасности, то можно выполняемый код отдавать в браузер с другого домена, не с того, с которого вы его будете смотреть. В ифрейме например.
Или я не понял вопроса?

Answer 4

[TheHorse]

XSS, SQL-inject, максимальный размер скрипта. Вроде всё.