XSS elleni védelem.

**0xFF** · 2009-12-25, 15:42

Egy újabb próbléma ütötte fel a fejét, van egy wysiwyg-editorom, ami bizonyos HTML taggeket használ, ennek a textarea-nak az ertéke be fog kerülni egy adatbázisba, majd onann termeszétesen ki is, azt szeretném, ha kitudnám, szürni az XSS-t teljes mértékben.

Amin en gondolkoztam, az az, hogy amielött bekerülne az adatbázisba először kicserélem az elemeket, pl a ból [P] lesz stb majd ezután átmegy a htmlentities fügvényen, majd bekerül az adatbázisba, kiolvasáskor meg visszacserélem a [P] ból ujra lesz.

Ezzel az a problémám. hogy van és és még sok sok más letőség.

Szerintem erre is van valami egyszerübb megoldás, vagy milyen más lehetőségek vannak, nem csak a <script> et szeretném szürni hanem mindent, IFRAME, onmouseover stb stb.

Hasonló témák:

**sitebuilder** · 2009-12-25, 16:06

Miért bonyolítod túl? A '<' helyett '<' -t írsz, de arra ott a htmlspecialchars() függvény...

**0xFF** · 2009-12-25, 16:24

Értem én, de akkor amikor kiolvasom akkor elveszik a formázás..

**todi** · 2009-12-26, 10:41

2 lehetőséged van:
- visszaolvasáskor visszakódolod a tartalmat
- preg_replace() használata (html2text class-ra keress, ha mindent ki akarsz szedni, ami html, és csak szöveged lesz)

**Geri** · 2009-12-26, 13:28

a strip_tags függyvénynek át lehet adni paraméterként az engedélyezett html tag-eket és szerintem azzal tudod ezt legegyszerűbben megoldani.

**0xFF** · 2009-12-26, 16:28

Kib*szott jó ez a PHP, mindenre van egyszerü megoldás...
Ha mást is érdekel akkor ez a megoldás:

PHP kód:

 <?php 

function strip_tags_attributes($string,$allowtags=NULL,$allowattributes=NULL){ 

    $string = strip_tags($string,$allowtags); 

    if (!is_null($allowattributes)) { 

        if(!is_array($allowattributes)) 

            $allowattributes = explode(",",$allowattributes); 

        if(is_array($allowattributes)) 

            $allowattributes = implode(")(?<!",$allowattributes); 

        if (strlen($allowattributes) > 0) 

            $allowattributes = "(?<!".$allowattributes.")"; 

        $string = preg_replace_callback("/<[^>]*>/i",create_function( 

            '$matches', 

            'return preg_replace("/ [^ =]*'.$allowattributes.'=(\"[^\"]*\"|\'[^\']*\')/i", "", $matches[0]);'    

        ),$string); 

    } 

    return $string; 

} 

?>