Форум PHP

а какой функцией преобразовывать текст взятый из БД перед выводом в окне браузера

nl2br(htmlspecialchars())

конечно, если это обычный плоский текст (а не html-код)

а если html код?

если Вы html-код выводите в поток html-кода, естественно, никаких преобразований делать не нужно.

Поймите, тут важно не то, из базы данные или еще откуда.
Тут важно какого типа данные и какой тип контента формируемой страницы.
Если они не совпадают, одно необходимо преобразовать к другому.

а как же вопрос безопасности?

какой вопрос?
Хотя по вопросам безопасности, очевидно стоит обращаться не сюда, а в СовБез ООН.
Ну или в спортлото, на худой конец.

)))) я имею ввиду если в html коде есть вредоносный код

В плане безопасности стоит опасаться внедрения како-го либо програмного кода, который выполняеться браузером, например яваскрипта, поэтому фильтруйте данные при приеме на наличие тегов которые указывают браузеру что дальше следует испольинть допустим яваскрипт

Ну или что лучше просто фильтруйте данные на разрешенные теги или вообще используйте BB-код(при выводе сначала воспользуйтесь функцией о которой тут речь), а дальше заменяйте допустим [b] на <b>, наверняка вы не весь хтмл разрешите использовать пользователям

>В плане безопасности стоит опасаться внедрения како-го либо програмного кода, который выполняеться браузером, например яваскрипта, поэтому фильтруйте данные при приеме на наличие тегов которые указывают браузеру что дальше следует испольинть допустим яваскрипт


а как фильтровать яваскрипт?

>а как фильтровать яваскрипт?

регулярку составте

вот тут рядышком есть раздел по HTML, Джаваскрипту и CSS.
Скажите, пожалуйста, Если бы на этом форуме была установлена регулярка, которую Вы замыслили, смог хотя бы кто-нибудь что-нибудь в том разделе не только написать, но и проиллюстрировать примером?! Там ведь каждый второй пост с джаваскриптом?

Когда же, наконец, тут перестанут давать советы за пределами собственной компетентности...

а как фильтровать?

ну дак тут он и не исполняеться а выводиться как есть. А как я понял автору темы нужно чтобы html код исполнялся браузером, но в тоже время чтобы не исполнялся яваскрипт.

ну да

НУ раз я все правильно понял то проверяйте присутствует ли <script и выводите просьбу убрать весь яваскрипт.

Сделать можно примерно так:

<? if(preg_match ("|^[<script ]$|", $a)) //регулярка тут не правильно составлена наверняка { echo "Уберите весь яваскрипт из вашего текста"; echo // тут выводим форму сохранив введеные пользователем данные }

или как вариант чтобы не исполнялся яваскрипт ищем, регуляркой где начинаеться яваскрипт, но отображался на странице и заменяем <> в нем на спецсимволы, правда как-то некрасиво получаеться?


Я в регулярных выражениях сам еще не разобрался, так что это лишь сырая идея, переработайте как нужно вам и потом еще и мне расскажите :)


Как понимаете эту операцию нужно делать до заноса данных в базу.

Если уж такое делать, то можно и без регулярок - strpos() или strstr() да и все =)
Только если это будет выводиться другим пользователям - не забудьте про такие тэги как iframe и подобное, что найдете..
Да и вообще, я бы лучше сделал список допустимых html тегов. А еще надо проверять, чтобы они были закрыты - не так сложно будет написать такой html код, который развалит вашу верстку к чертям

P.S. регулярка у вас неверная хотя бы потому, что там указаны начало и конец строки - не думаю, что весь текст будет состоять из <script
К тому же, вы используете класс (квадратные скобки, по-моему, так называется), так что удовлетворять вашей регулярке будет строка состоящая из одного символа из этого класса

>Да и вообще, я бы лучше сделал список допустимых html тегов. А еще надо проверять, чтобы
>они были закрыты - не так сложно будет написать такой html код, который развалит вашу
>верстку к чертям

Я про это говорил уже.

>
>P.S. регулярка у вас неверная хотя бы потому, что там указаны начало и конец строки - не
>думаю, что весь текст будет состоять из <script

Я в регулярках до сих пор так и не разобрался окончательно наверное до и после нужно поставить любое количество любых символов :)))

Да, только я не просек тот момент, когда этот самый html-код захотели от пользователя брать.
Если автор собрался получать прямой текст HTML-кода из формы и направлять этот HTML-код в браузер именно как HTML-код, то он, конечно, самый что ни на есть героический геройский герой, и маловероятно, что его защитят хоть какие-нибудь регулярки. А плевков в карму на тему того, что в его движке нужный текст не набрать, он огребет от посетителей более чем знатно. Особенно, если портал технической направленности.

Если Вы не будете выводить вредноносный код в поток html - его там не будет.
Но панацеи от этого нет.