Kuzya

F.A.Q. → Защита кода от SQL-injection • 31 июля 2008 г. 13:20

F.A.Q. → Защита кода от SQL-injection • 31 июля 2008 г. 9:35

JavaScript → Перетягивание предметов на странице • 30 июля 2008 г. 8:52

PHP для идиотов → active directory • 27 июля 2008 г. 8:25

Базы данных → Уменьшение нагрузки на MySQL • 22 июля 2008 г. 15:12

PHP для идиотов → Русские слова в referer`e • 22 июля 2008 г. 15:10

Базы данных → Уменьшение нагрузки на MySQL • 22 июля 2008 г. 8:11

PHP для идиотов → Русские слова в referer`e • 21 июля 2008 г. 22:33

		$url = "http://www.rambler.ru/srch?set=www&words=%F2%E5%F1%F2";
		$url = urldecode($url);
		var_dump($url);

Базы данных → Уменьшение нагрузки на MySQL • 21 июля 2008 г. 21:43

Базы данных → Уменьшение нагрузки на MySQL • 21 июля 2008 г. 16:33

PHP для идиотов → Русские слова в referer`e • 21 июля 2008 г. 16:23

PHP для идиотов → Русские слова в referer`e • 21 июля 2008 г. 9:05

PHP для идиотов → GMT клиента • 16 июля 2008 г. 17:04

PHP для идиотов → GMT клиента • 16 июля 2008 г. 12:22

PHP для идиотов → GMT клиента • 16 июля 2008 г. 8:09

Самый надежный и удобный пользователю - селект в профиле "укажите свой часовой пояс"

PHP для идиотов → GMT клиента • 15 июля 2008 г. 20:57

PHP для идиотов → GMT клиента • 15 июля 2008 г. 18:49

PHP для идиотов → watermark • 15 июля 2008 г. 11:48

function _get_ave_color( $color_a, $color_b, $alpha_level )
{

      return round( ( ( $color_a * ( 1 - $alpha_level ) ) + ( $color_b * $alpha_level ) ) ); 

}

function _get_image_color($im, $r, $g, $b)
{

      $c=imagecolorexact($im, $r, $g, $b);
      if ($c!=-1) return $c;
      $c=imagecolorallocate($im, $r, $g, $b);
      if ($c!=-1) return $c;
      return imagecolorclosest($im, $r, $g, $b);

}

PHP для идиотов → Боремся с XSS • 14 июля 2008 г. 21:35

PHP для идиотов → Боремся с XSS • 14 июля 2008 г. 18:30

Kuzya, вы не в темеWYSIWYG дает не фильтрацию текста а удобное его оформление тем не мение я могу туда пихнуть все что хочуЭто Вы меня не правильно поняли =) Я это к тому что форматирование большого объёма (про который писали выше)текста можно сделать проще с помощью урезанного WYSIWYG. вопрос ст...

Kuzya, вы не в теме
WYSIWYG дает не фильтрацию текста а удобное его оформление тем не мение я могу туда пихнуть все что хочу

Это Вы меня не правильно поняли =) Я это к тому что форматирование большого объёма (про который писали выше)текста можно сделать проще с помощью урезанного WYSIWYG.

вопрос стоит более интересно нужно запрещать все что явно не разрешено или разрешать все что явно не запрещено. я бы резал все что не разрешил.

Вот и я за этот вариант.

мне очень припала в душу ситуёвина с ipb когда у них в bb кодах находили уязвимости изза слишком большой дозволености.
напомню там теги с параметрами были которые можно было вставлять в текст как попало

И в phpBB были такие. Там не большая дозволенность а кривые регулярки были.

я ж говорю, отрезаю все лишние тэги с помощью strip_tags, оставляя лишь те, которые только к форматированию текста относятся + есть те, которые необходимо фильтровать, это: <a>, <img> и всё

Зато свойства у "разрешённых" тегов strip_tags не режет, поэтому я не за его использование.

ссылки и картинки

Сделайте для них 2 бб-кода простейших типа [a]ссылка[/a] и . Только без лишних свойств типа - как раз из-за косяков регулярок через такие свойства XSS и проводят.