[PHP] אבטחה...

[ShLooK]

יש לי נגיד את הקוד הבא:

PHP קוד:

            $username=$_POST['username'];
            htmlspecialchars($username);
            mysql_real_escape_string($username); 


אבל עדיין אם אני מכנס נגיד <script>, זה דופק את האתר...
מה אפשר לעשות?

[Gal Shafrir]

להחליף את המילה הזאת בכלום..

PHP קוד:

<?php
    $text = str_replace("<script>","",$text);
?>

[Tomer]

striptags / htmlspecialchars

[חיים]

נכתב במקור על ידי Tomer

striptags / htmlspecialchars

תומר הוא צריך להעיף רק את ה<script> ולא את כל התגים
תעשה כמו שאמרו לך למעלה:

PHP קוד:

$text = eregi_replace("<script(.*)>","",$text); 
$text = eregi_replace("</script>","",$text); 


תנסה משהוא כזה
אני לא כל כך טוב בביטויים רגולריים אבל זה מה שאנ ייודע

[Elad-A]

ואם כבר אז ככה:

PHP קוד:


function clean($string)
{
    return preg_replace('/<(script|style)[^>]*>[^<]*<\/[^>]*(script|style)[^>]*>/Ui', '', $string);
} 


זה יחליף גם את תגיות הscript וגם את style.

[ShLooK]

פצצה! תודה חברה...
אם אני אשתמש בstriptags, זה יחסום את כל התגים?

[Daniel]

נו, אף אחד לא קרא את הנושא.
יש לך טעות בקוד, תקרא ותראה.

PHP קוד:

            $username=$_POST['username'];
             $username = htmlspecialchars($username);
            $username = mysql_real_escape_string($username); 


אני בטוח שאף אחד שהגיב לא באמת קרא את הנושא.

[חיים]

נכתב במקור על ידי MasterT

נו, אף אחד לא קרא את הנושא.
יש לך טעות בקוד, תקרא ותראה.

PHP קוד:

            $username=$_POST['username'];
             $username = htmlspecialchars($username);
            $username = mysql_real_escape_string($username); 


אני בטוח שאף אחד שהגיב לא באמת קרא את הנושא.

חחחחחח אחי אתה זה שלא קראת בו נצטט לך אותו:

יש לי נגיד את הקוד הבא:

זאת רק דוגמה חחח את הפתרון הוא קיבל אני חושב ככה שלמה אתה בכלל עונה
אני לא מבין את הקטע של לענות אחרי שהבן אדם קיבל פתרון

[Daniel]

אנשים מציעים לו striptags-שזה פשוט לדלג על הבעייה,

ו-htmlspecialchars אמור לחסום גם <script> ולהפוך את זה ל-;&lt;script&gt למיטב ידיעתי.

[daMn]

תשמע אני לא יודע מה עשית בקוד,
אבל מה שאני יודע כדי לחסום מה שאתה רוצה זה מספיק

PHP קוד:

$username = htmlspecialchars($username, ENT_QUOTES);