safe html: XSS отаке

[nerezus]

safe html: XSS отаке

Собственно вопрос: как вырезать из html все лишнее?

Пока юзаю сабж: http://drupal.org/project/safehtml

Но.... есть способы лучше?
Регекспы с вырезанием script/etc и прочую подобную хрень не предлагать

 

[fixxxer]

jevix.ru

 

[nerezus]

fixxxer в нем куча XSS, не нужно такого мне счастья )

Мне бы что-то безопасное хотелось бы )

 

[fixxxer]

безопаснее - htmlspecialchars

все остальное в любом случае потенциально уязвимо

как компрописсный вариант могу предложить делать htmlspecialchars и обратное преобразование для ограниченного набора тэгов.

 

[nerezus]

пардон, в настройках защиту от XSS забыл врубить

-~{}~ 07.01.09 01:41:

> все остальное в любом случае потенциально уязвимо
Нет все же - знаю способы, как можно сделать неуязвимо(т.е. лексический анализ в 2 типа состояний), но это же гемор )

 

[Beavis]

а чем может быть опасен HTML, пропущенный через htmlspecialchars ?

 

[nerezus]

Beavis отступлением от постановки задачи.

HTML не должен терять разметку, превращаясь в текст(точнее должен, но в минимальной степени(вырезание левых тегов и закрытие незакрытых))

 

[pilot911]

Автор оригинала: nerezus
Beavis отступлением от постановки задачи.

HTML не должен терять разметку, превращаясь в текст(точнее должен, но в минимальной степени(вырезание левых тегов и закрытие незакрытых))

возник такой же вопрос

так чем в итоге пользоваться ?

 

[nerezus]

Ну в итоге пока 2 варианта: safehtml и jevix.ru
Пока на первом у меня двиг. Второй изучить надо, думаю.

 

[Beavis]

а откуда берется этот "опасный" html-код?

 

[nerezus]

Beavis
от пользователя.