Правилен ли ход мыслей?

Question

[littleguga]

Есть поле(допустим комментарий на сайте), он может содержать html код и должен быть выведен, как html код. Достаточным будет обернуть вывод этого поля в теги <code></code> или нет, для защиты от XSS?

Заранее благодарен за ответ!

Answer 1

[Dmitry Bay]

Недостаточно. Проверьте сами, введя вот такой код у себя на сайте:

<div class="comment1" > <script>  alert();</script> </div>

используйте эту библиотеку - htmlpurifier.org , она достаточно простая.

Comments

[littleguga]

ой. парсер съел

[littleguga]

Обновил

[Dmitry Bay]

littleguga: ну вы сами проверьте, вставьте вместо div, code.

[rapkin]

Дмитрий Бай: а если </code><script>alert(42);</script>

[Dmitry Bay]

rapkin dev: дак code так и так не экранирует символы.

[rapkin]

Дмитрий Бай: простите, неверно понял вашу мысль

Answer 2

[alektive]

Любая нормальная CMS проверяет входные данные, особенно комментарии пользователей. Есть стандартные функции в PHP, позволяющие переводить символы "/<:;{ итд в unicode.

P.S Как говорил мой препод - "Пиши программу так, чтобы дурак её случайно не сломал."

Comments

[FanatPHP]

узнай, что значит unicode и впредь страйся не употреблять слов, значения которых ты не знаешь

[alektive]

FanatPHP: ох извините

[FanatPHP]

не стоит извинений. главное, чтобы ты хорошо учился

Answer 3

[FanatPHP]

Если у тебя не используется пользовательский ввод, то и защищаться ни от чего не надо.
Если используется, и HTML запрещен, то htmlspecialchars()
Если используется, но HTML разрешен - то htmlpurifier.org