Форум PHP

У меня такой вопрос:

Есть html форма textarea, в нее пользователь вводит данные, как разрешить вводить js скрипты и html тэги, но обрезать при этом php?

То есть крякнуть Вас можно, но не через PHP

>То есть крякнуть Вас можно, но не через PHP
:-)

может str_replace()
http://www.php.su/functions/?cat=strings

а на сколько спасет

$str = str_replace("<?", "", $str);  $str = str_replace("?>", "", $str);

никто не знает?

что Вы хотите в конечном итоге?

GeorgeIV, хочу дать доступ пользователям к редактированию html файлов, понятно что в сам файл они могут писать сколько угодно php кода и он не выполнится т.к. формат .html, но структура присутствует и такая

index.php

<? require_once("file1.html"); require_once("file2.html"); require_once("file3.html"); ?>

т.е. если юзер туда впихнет php скрипт и я его не обрежу. то по адресу ......./index.php этот скрипт выполнится, поэтому спрашиваю на сколько будет эффективен str_replace() в данном случае и как теоретически его может обойти хакер?

редактировать файлы пользователи будут через форму textarea

Мой пост, удаленный модератором, отвечал на вопрос.

Будем тему закрывать?

М-да, к модерированию есть вопросы...

Trianon, по вашему вопросу -- php файлы там нужны, мне не обойтись без сессий и не только, поэтому они там присутствуют

А я не предлагал удалять php-файлы.
Я лишь посоветовал запретить перезапись файлов с такими расширениями.

вы тоже не поняли о чем я, я их и не перезаписываю, но за то перезаписываю html которые инклудятся в php

Я-то понял. И уже достаточно давно.
html Вас инклудить никто не заставляет.
Его надо читать и выкидывать в поток браузеру.
Инклудится серверный код. Читается контент.
Две большие разницы.

О том, что вы не делаете меж ними различия, Вам здесь уже написали.
Георгий вчастности. Вы же изволили обидеться.

"Его надо читать и выкидывать в поток браузеру."

а каким образом?

readfile()