Как безопасно хранить js в базе данных?

Question

[dvomaks]

Возникла необходимость хранения кусков кода на javascript в базе данных. Наверное для лучшего понимания наведу пример. Пользователь на сайте в редакторе пишет свой код, сохранение идет в базу данных, потом этот код будет отдаваться этому же пользователю в чистом виде или в опять же в редакторе.

Сейчас склоняюсь к тому чтобы полученный код кодировать в base64 и сохранять в базе, думаю это полностью обезопасит на стадии сохранения и обновления. Для вывода использовать что-то типа

echo base64_decode($javascript);

Собственно сам вопрос - насколько безопасно отдавать данные таким образом пользователю для меня? Безопасность пользователя здесь меня не волнует, так как он будет получать только то что сам написал.
Может есть другие варианты? Ткните носом пожалуйста, нагуглить ничего подходящего не получилось.

Comments

[Zhainar]

может просто экранировать кавычки?

[dvomaks]

тоесть, addslashes(base64_decode($javascript));?

но мне нужно получать js в чистом виде

[Zhainar]

dvomaks: в данном случае опасность только в sql инъекциях. Есть вариант хранить код в файле, название файла в базе, это точно обезопасит вашу базу.

Answer 1

[Александр]

PDO, и не надо париться со всем остальным

Comments

[dvomaks]

по вашему это обезопасит отдачу данных?

[Александр]

dvomaks: PDO решает вопрос с безопасностью вставки (исключает возможность инъекции). В базе будет храниться и, соответственно, отдаваться пользователю ровно то, что он ввел. Вроде бы, это то, что Вам нужно

[Александр]

Кодирование base64 сильно увеличит объем данных. Да и вообще каким-то извратом кажется

[dvomaks]

то есть достаточно будет сделать mysql_real_escape_string перд вставкой, а потом когда отдаем избавится от слешей?

[Александр]

dvomaks: ну вообще если использовать PDO или правильно заэкранировать, убирать слеши при отдаче не придется. Надо с конкретной реализацией смотреть и экспериментировать. Кстати, а вы какой редактор используете?

[Назар Мокринский]

dvomaks: От каких ещё слэшей? Вам вернется ровно то, что вы вставляли. mysqli_real_escape_string() просто позволяет сделать эту самую вставку безопасно, сами данные от этого не меняются.

[dvomaks]

>>Кстати, а вы какой редактор используете?
Ace Editor

[Александр]

dvomaks: пользователь в чем свой код вводит? Там скорее всего редактор и заменяет < на &lt и прочее. Тогда просто если нужно отдать чистый код нужно прогнать через html_entity_decode

[dvomaks]

Назар Мокринский: возможно я что-то не так понял но исходя из того что
"Функция экранирует специальные символы строки unescaped_string, принимая во внимание кодировку соединения, таким образом, что результат можно безопасно использовать в SQL-запросе в функци mysql_query(). "
подумал что экранирование и происходит, надо проверить

[Назар Мокринский]

dvomaks: Всё верно, но экранирование не меняет данные, просто готовит их к запросу. В БД вставится ровно то, что было до экранирования. И забудьте наконец про mysql_* функции, в актуальной версии PHP их вообще нет.

[dvomaks]

Александр: Вот спасибо, я а городил через replace, буду знать

[dvomaks]

Назар Мокринский: на сервере PHP5.3
использую небольшой клас для работы с базой данных
function RealEscape($string)
{
if ($this->con) return mysqli_real_escape_string ($this->con, $string);
else return mysql_escape_string($string);
}

Answer 2

[Shkurupii]

Кодировать данные в базу можете как угодно, но к защите это отношения может и не иметь. Прочтите как обезопасить себя от MySQL injection и, возможно, после прочтения вам уже и конвертировать не нужно будет вовсе.

Comments

[dvomaks]

обезопасить вставку в базу без кодирования я могу, только в итоге вытащить обратно без лишних символов не получается, мне нужно будет отдавать чистый js который потом будет прогоняться через eval на стороне клиента. Может я что-то криво делаю, но после того как я экранирую и тд у меня ну никак не получается отдать чистый js, вечно вылазит гдето лишний слеш или знак < заменён на &lt ;

После всех мучений решил забить и сделать через кодирование, только возник вопрос по безопасной отдаче для меня.

ЗЫ согласен вопрос в заглавии задан не коректно, просто поспешил тыцнуть кнопочку, сорри если ввёл в заблуждение

Answer 3

[Оптимус Пьян]

Поддерживаю Zhainar и Александр вы просто пишете в БД JS с экранированными кавычками типа:
var arr = [222,1,6666,33,\"word\",111111];

При отображении этого кода пользователю, просто убираете экранирование и получаете чистый JS:
var arr = [222,1,6666,33,"word",111111];

Answer 4

[trevoga_su]

думаю это полностью обезопасит на стадии сохранения и обновления

от чего обезопасит? от сифилиса?

вопрос человека, который не знает азов и даже прочитать азы не хочет.
phpfaq.ru/mysql/slashes

JS НИЧЕМ не отличается от других данных. Хранить в базе как обычный текст. И не надо ничего никуда конвертировать.

Comments

[dvomaks]

>>вопрос человека, который не знает азов
Я и не говорил что я гуру, я если сомневаюсь не стесняюсь спросить.
>> от чего обезопасит? от сифилиса?
нет, от sql иньекций, или я не прав? то что есть другие способы я знаю.

[trevoga_su]

dvomaks: по ссылке выше все максимально подробно расписано
любые строковые данные нужно экранировать
но в контексте вопроса - базе все равно, что в нее пишут - текст Пушкина или JS
надо просто применить либо подготовленные запросы, либо использовать функции в стиле mysqli_real_escape_string() (если используется не PDO, а "родной" драйвер БД)