вопрос по htmlspecialchars($a)

[kozax89]

htmlspecialchars($a) - обрезает html тэги, верно? А какая функция режет только PHP тэги но оставляет html? И разрешение html тэгов ведь не поалияет на безопасность, правда? ))

 

[t0wer]

htmlspecialchars - Преобразует специальные символы в HTML сущности? а не обрезает!

<?php
$new = htmlspecialchars("<a href='test'>Test</a>", ENT_QUOTES);
echo $new; // &lt;a href='test'&gt;Test&lt;/a&gt;
?>

strip_tags - Удаляет HTML и PHP тэги из строки.

Если оставлять HTML не обработанным, то можно на свой код получить XSS уязвимость. Так что нужно обрабатывать все!

 

[kozax89]

понятно, а нет варианта вырезать только PHP тэги? ))

 

[t0wer]

на сколько я знаю универсальной такой функции нет, если самописные только.
можете посмотреть в движках форумов и CMS + юзайте поисковые системы.

 

[saen]

понятно, а нет варианта вырезать только PHP тэги? ))

Тебе надо вырезать именно теги или все, что представляет собой кусок php-кода? как вариант для обоих случаев можно использовать str_replace либо preg_replace

 

[tostrss]

А в чем проблема вырезать код от <? до ?>

 

[kozax89]

ну допустим обработчик получает переменную $text - В ней по идеи надо дать пользователю возможность пользоваться любым html но при этом заблокировать возможность использовать PHP

Заманчивым выглядит вариант tostrss - можешь описать подробней как этого добится? )) Поискал в инете и нашел только про удаление определенных позиций из строки - например с 5 по 10 позицию.

А как удалить начиная от <? и заканчивая на ?> ? Такой вариант былбы просто чудесен

 

[GrizliK]

Примерно так

<?php
$text='<?echo "Hello"?>My<?echo "Hello"?>name<?echo "Hello"?>is';
$pos1=strpos($text,"<?");
$pos2=strpos($text,"?>");
if ($pos2>0) $flag=True;
else $flag=False;
while ($flag){
    $text1=substr($text,0,$pos1);
    $text2=substr($text,$pos2+2);
    $text=$text1.' '.$text2;
    $pos1=strpos($text,"<?");
    $pos2=strpos($text,"?>");
    if ($pos2>0) $flag=True;
    else $flag=False;
}
echo '<br>'.htmlentities($text);
?>

Добавлено через 38 секунд
Вместо <?echo "Hello"?>My<?echo "Hello"?>name<?echo "Hello"?>is
выведется My name is

 

[t0wer]

А как удалить начиная от <? и заканчивая на ?> ? Такой вариант былбы просто чудесен

вот так:

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

 

[kozax89]

Спасибо обоим, хотя вариант t0wer покомпактнее