Как кодировать url в php (urlencode не подходит)?

Question

[rinaz22]

Всем привет! Есть поле для ввода url.
Нужно записать этот url в БД. Перед записью проверяю на валидность.
Но возникла проблема при выводе. Если в url будет такого типа:
site.ru?q=123&h=".echo("123")."
то при выводе будет так:
site.ru?q=123&h=
Пробовал кодировать при выводе с помощью urlencode, но так кодируется почти все и такая ссылка не работает через html тег
<a href="">
Как быть? Нужно чтобы ссылка открывался как есть

Comments

[Максим Федоров]

Без echo

[Adamos]

Вообще-то по RFC 3986 кавычек в URL быть не должно. %22, если не ошибаюсь.

[rinaz22]

Adamos, filter_var пропускает даже с кавычками

Answer 1

[Северное Сияние]

все, что тебе нужно - сделать htmlspecialchars:

<?php
$url = 'http://server.ru/?var=foo&var=Привет, мир!&XSS=<script>alert(1)</script>';
$url = htmlspecialchars($url);
?>
<a href="<?=$url?>">link</a>

все остальные вопросы про безопасность - твои выдумки. тут почитай материал - phpfaq.ru/tech/safety

Если пользователь вел какое-то авно в строку url-адреса, то это сугубо его личные проблемы, твоя задача лишь при отображении предотвратить XSS. Все.

Если нужна валидация URL, то самый правильный ответ тут - https://stackoverflow.com/a/1411800

Answer 2

[Siverius]

$var = "123";
$url = "site.ru?q=123&h=$var";

А вот так пробовали?

Comments

[rinaz22]

Ссылку ввожу не я, а пользователи. Поэтому я не могу заранее знать что там будет

[FeST1VaL]

rinaz22, тогда с чего это они будут пихать туда echo?

[rinaz22]

Артем Будин, мало ли кто-нибудь захочет "проверить" безопасность)

[Siverius]

rinaz22,

$var = $_POST['data_from_user'];
$url = "site.ru?q=123&h=$var";

А вот так?

PS Ну, то есть вся суть - положить данные в переменную, а потом эту переменную вставлять в ваш url.

[rinaz22]

Siverius, написал же, ссылку ввожу не я и ссылка может быть любая, и site1 и toster.ru и т.д

[Siverius]

В таком случае - попробуйте использовать filter_var

[rinaz22]

Siverius, можно пожалуйста поподробнее? Вы имеете ввиду FILTER_VALIDATE_URL? Такая проверка уже стоит, но она пропускает даже с кавычками

[Siverius]

rinaz22, может быть тогда сперва удалять все лишние символы?