Kuzya

F.A.Q. → Защита кода от SQL-injection • Июль 31, 2008, 1:20 п.п.

F.A.Q. → Защита кода от SQL-injection • Июль 31, 2008, 9:35 д.п.

JavaScript → Перетягивание предметов на странице • Июль 30, 2008, 8:52 д.п.

PHP для идиотов → active directory • Июль 27, 2008, 8:25 д.п.

Базы данных → Уменьшение нагрузки на MySQL • Июль 22, 2008, 3:12 п.п.

PHP для идиотов → Русские слова в referer`e • Июль 22, 2008, 3:10 п.п.

Базы данных → Уменьшение нагрузки на MySQL • Июль 22, 2008, 8:11 д.п.

PHP для идиотов → Русские слова в referer`e • Июль 21, 2008, 10:33 п.п.

		$url = "http://www.rambler.ru/srch?set=www&words=%F2%E5%F1%F2";
		$url = urldecode($url);
		var_dump($url);

Базы данных → Уменьшение нагрузки на MySQL • Июль 21, 2008, 9:43 п.п.

Базы данных → Уменьшение нагрузки на MySQL • Июль 21, 2008, 4:33 п.п.

PHP для идиотов → Русские слова в referer`e • Июль 21, 2008, 4:23 п.п.

PHP для идиотов → Русские слова в referer`e • Июль 21, 2008, 9:05 д.п.

PHP для идиотов → GMT клиента • Июль 16, 2008, 5:04 п.п.

PHP для идиотов → GMT клиента • Июль 16, 2008, 12:22 п.п.

PHP для идиотов → GMT клиента • Июль 16, 2008, 8:09 д.п.

Самый надежный и удобный пользователю - селект в профиле "укажите свой часовой пояс"

PHP для идиотов → GMT клиента • Июль 15, 2008, 8:57 п.п.

PHP для идиотов → GMT клиента • Июль 15, 2008, 6:49 п.п.

PHP для идиотов → watermark • Июль 15, 2008, 11:48 д.п.

function _get_ave_color( $color_a, $color_b, $alpha_level )
{

      return round( ( ( $color_a * ( 1 - $alpha_level ) ) + ( $color_b * $alpha_level ) ) ); 

}

function _get_image_color($im, $r, $g, $b)
{

      $c=imagecolorexact($im, $r, $g, $b);
      if ($c!=-1) return $c;
      $c=imagecolorallocate($im, $r, $g, $b);
      if ($c!=-1) return $c;
      return imagecolorclosest($im, $r, $g, $b);

}

PHP для идиотов → Боремся с XSS • Июль 14, 2008, 9:35 п.п.

PHP для идиотов → Боремся с XSS • Июль 14, 2008, 6:30 п.п.

Kuzya, вы не в темеWYSIWYG дает не фильтрацию текста а удобное его оформление тем не мение я могу туда пихнуть все что хочуЭто Вы меня не правильно поняли =) Я это к тому что форматирование большого объёма (про который писали выше)текста можно сделать проще с помощью урезанного WYSIWYG. вопрос ст...

Kuzya, вы не в теме
WYSIWYG дает не фильтрацию текста а удобное его оформление тем не мение я могу туда пихнуть все что хочу

Это Вы меня не правильно поняли =) Я это к тому что форматирование большого объёма (про который писали выше)текста можно сделать проще с помощью урезанного WYSIWYG.

вопрос стоит более интересно нужно запрещать все что явно не разрешено или разрешать все что явно не запрещено. я бы резал все что не разрешил.

Вот и я за этот вариант.

мне очень припала в душу ситуёвина с ipb когда у них в bb кодах находили уязвимости изза слишком большой дозволености.
напомню там теги с параметрами были которые можно было вставлять в текст как попало

И в phpBB были такие. Там не большая дозволенность а кривые регулярки были.

я ж говорю, отрезаю все лишние тэги с помощью strip_tags, оставляя лишь те, которые только к форматированию текста относятся + есть те, которые необходимо фильтровать, это: <a>, <img> и всё

Зато свойства у "разрешённых" тегов strip_tags не режет, поэтому я не за его использование.

ссылки и картинки

Сделайте для них 2 бб-кода простейших типа [a]ссылка[/a] и . Только без лишних свойств типа - как раз из-за косяков регулярок через такие свойства XSS и проводят.