Как составить регулярное выражение для сложного bb-кода?

Question

[Иван]

У меня на сайте формируется следующий bb тег

[br][img src="images/20150429064557608.jpg" width="1500" class="Название класса" alt="Заголовок картинки"][br]

Все параметры включая ширину и название класса могут меняться, но это не суть важно.

Некоторых параметров может вообще не быть, например отсутствовать alt

[br][img src="images/20150429064557608.jpg" width="1500" class="Название класса"][br]

Нужно перевести этот сложный bb код с помощью регулярного выражения в html тег, корректно, и так, чтобы исключить взлом через него.

Прошу в этот раз помочь мне написать эту регулярку (готовый рецепт), и потом дать какую-нибудь литературу на тему регулярок для чайников (гугл рулит), а то мне уже стыдно просить людей помогать составлять регулярки. Обещаю что дальше буду разбираться с ними сам...

Answer 1

[Andrey Dugin]

1) Очевидное решение: заменить [] на <> и отбросить [br]
2) Что значит "исключить взлом через него"? Поставьте задачу конкретнее.

Пример с регуляркой на Python:

>>> import re
>>> text = '[br][img src="images/20150429064557608.jpg" width="1500" class="class_name" alt="pic_title"][br]'
>>> items = re.findall(r'(?:\b(src|width|class|alt)="([^"]*)")+', text)
>>> items
[('src', 'images/20150429064557608.jpg'), ('width', '1500'), ('class', 'class_name'), ('alt', 'pic_title')]
>>> line = '<img %s>' % ' '.join('%s="%s"' % (param, value) for param, value in items)
>>> line
'<img src="images/20150429064557608.jpg" width="1500" class="class_name" alt="pic_title">'

Comments

[Иван]

1) Это же небезопасно - тогда хакер сможет тупо писать в текст любые теги в квадратных скобках

2) BB-ориентированные системы могут быть подвержены XSS-атакам, если при их проектировании сделано отступление от идеи написания языка разметки с нуля. Приведу пример: пусть мы тегом [b][/b] оформляем жирный текст. И при этом разрешаем пользователям с помощью атрибута color менять его цвет. То есть пусть [b color="red"]...[/b] заменяется на .... На первый взгляд все хорошо, однако...

Злоумышленник может в значение атрибута color записать что-то посложнее простого цвета, к примеру, он туда запишет строку «red" onmouseover="скрипт» или «expression(скрипт)». И, если мы не осуществляем должной фильтрации значения цвета, мы получим скрипт, выполняющийся у посетителей.

Хорошей идеей для такой фильтрации будет не вычищать потенциально опасные вещи (к примеру, слово expression или кавычки), а наоборот, пропускать только такие данные, которые являются корректными. В случае с цветом это последовательность латинских букв и цифр, возможно, с символом «#» в начале (т. е., к примеру, регулярное выражение «^[#]?[a-zA-Z0-9]+$». Есть, конечно, в стандарте HTML и другие форматы записи цветов, желающие могут справиться в интернете). Можно пойти дальше, отсеивать, к примеру, цвета, равные или близкие к цвету фона и т. д. Всем этим мы добъемся того, что наш фильтр будет правильно работать и в случае появления поддержки в браузерах каких-то конструкций, которых, возможно, еще и в проекте нет.

[Иван]

Эммм... Спасибо. Питон я к сожалению не знаю, изучаю PHP но это лучше чем ничего. Сейчас буду это пробовать курить

[Andrey Dugin]

Иван Сараев: главное - по регулярке выцепить нужные свойства (причём уже на этом этапе можно частично проверить на допустимые символы), а потом уже смотреть более конкретно в зависимости от имени параметра. А вообще наверняка есть готовые решения.

[Иван]

OnYourLips: Внедрение своего html кода с элементами JS в чужой сайт. Что вы имеете ввиду? Я чего то не понимаю?

[Andrey Dugin]

OnYourLips: к XSS приводит не использование регекспов, а неправильное их составление.

[Andrey Dugin]

OnYourLips: Ограничить используемый набор символов до минимального.

[Иван]

OnYourLips: Извиняюсь, но мне просто показалось сложным ваше решение без регулярок. Именно потому что я начинающий программист а не профессионал. Значит с вашей точки зрения, регулярки для bb кодов критически небезопасны?

[Andrey Dugin]

OnYourLips: Для приведённого в задаче тега img десятки килобайт кода - это нонсенс и из пушки по воробьям.

[Andrey Dugin]

OnYourLips: у тега в задаче ровно 4 атрибута. Не вижу проблемы их пропарсить.

[Andrey Dugin]

OnYourLips: А что именно мешает?

[Andrey Dugin]

OnYourLips: Я правильно понял, что здравый смысл мешает Вам проконтролировать значения?

Answer 2

[Леонид Сысолетин]

Первые три результата в Гугле по запросу "php bbcode parse"
с объяснением
без объяснения
для комплекта