bestimmte HTML-Tags zulassen

chickenburner · 13.02.2012, 09:49

Hallo zusammen,

user können auf meiner website seiten erstellen. Den Inhalt können sie mit dem Tinymce-Editor erstellen. Nun ist meine Frage, wie ich diese Geschichte sicher gestallten kann mit maskierungen.

Wie trage ich die Eingaben in die Datenbank ein und wie gebe ich sie am besten wieder aus, wenn ich bestimmte HTML-Tags zulassen möchte.

Bspw. <strong></strong><h1></h1><h2></h2><br /><font color:#xxxx></font> sollen erlaubt sein, damit der User seinen Text gestallten kann.

Ich hoffe ihr könnt mit weiterhelfen.

Gruß

13.02.2012, 10:08

Generell alles verbieten und dann mit ner Whitelist arbeiten. (Da ich mal davon ausgeh das du weniger als die Hälfte der zur Verfügung stehenden Elemente zulassen willst).

chickenburner · 13.02.2012, 10:36

vielen Dank für deine Hilfe

ja, genau sowas in der Art schwirrte mir im Kopf herum, allerdings weiss ich nicht so ganz, wie das umgesetzt wird.

PHP-Code:

  $allowed = "<strong>,</strong>,<h1>,</h1>,...";
$usereingabe = $_POST['usereingabe'];
$sichereeingabe = strip_tags($usereingabe, $allowed);

$mysql_real_escape_string($sichereeingabe); <- Dies kann nun in der DB gespeichert weren?

ungefähr so?
und wie gebe ich das am besten aus? oder reicht dann nur noch echo $sichereeingabe; (also ohne maskierung)?

tr0y · 13.02.2012, 10:45

Generell:
http://www.shiftedwork.de/blog/2011/...pting-mit-php/

Gutes Werkzeug zum Post-Patching von User-Eingaben die HTML enthalten dürfen:
http://htmlpurifier.org/

chickenburner · 13.02.2012, 12:57

vielen Dank für die Hilfe.

In meinem Fall sind es nur wenige Html-codes, die zugelassen werden. Die Geschichte mit dem BB-Code in deinen Links finde ich sehr interessant.

Wäre es eine sinnvolle idee, die wenigen codes, die ich zulasse, mit preg_replace in bb-codes umzuwandeln, dann die eingabe mit htmlspecialchars bearbeiten, so dass die nichtzugelassenen codes, unwirksam werden und das dann in die db speichern?
Beim Ausgeben, die bb-codes mit preg_replace wieder umwandeln in html-codes?

Also:

PHP-Code:

  preg_replace(<b>, [b], $usereingabe);
preg_replace(<h1>, [h1], $usereingabe);
preg_replace(<h2>, [h2], $usereingabe);
preg_replace(<font color='(.*)'>, [font color='(.*)'], $usereingabe);
htmlspecialchars($usereingabe); <-in DB speichern

Ausgabe:
preg_replace([b], <b>, $usereingabe);
preg_replace([h1], <h1>, $usereingabe);
preg_replace([h2], <h2>, $usereingabe);
preg_replace([font color='(.*)'], <font color=(.*)>, $usereingabe);

echo $usereingabe;

tr0y · 13.02.2012, 13:00

BBCode-Klasse nutzen, nicht das Rad neu repla...äh erfinden.

Des gibbet denn da: http://www.christian-seiler.de/projekte/php/bbcode/

trollface · 13.02.2012, 15:35

Lass das <font> weg. Es ist schon seit Ewigkeiten als veraltet eingestuft und fliegt mit HTML5 endgültig raus.

tr0y · 13.02.2012, 15:41

Zitat:

Zitat von trollface

Lass das <font> weg. Es ist schon seit Ewigkeiten als veraltet eingestuft und fliegt mit HTML5 endgültig raus.

Stattdessen <span> nutzen bzw. in deinem Fall:

HTML-Code:

<span style="color:#cc00cc">text</span>

13.02.2012, 15:42

Zitat:

Zitat von chickenburner

Bspw. <strong></strong><h1></h1><h2></h2><br /><font color:#xxxx></font> sollen erlaubt sein, damit der User seinen Text gestallten kann.

EDIT:
<kill>
http://tr.php.net/strip_tags
string strip_tags ( string $str [, string $allowable_tags ] )
</kill>
siehe #10

fab · 13.02.2012, 15:50

Der BBCode-Ansatz ist schon ganz sinnvoll, strip_tags ist keine brauchbare Funktion für Benutzereingaben.

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Xpath Node Value mit HTML Tags befüllen	CarlitoPhp	PHP Einsteiger	2	08.09.2011 00:40
[Erledigt] HTML Tags (dynamisch) entfernen	paolo	PHP Einsteiger	75	11.08.2011 17:02
[JSON] HTML tags nicht interpretieren	cargos	JavaScript, Ajax und mehr	8	17.05.2010 21:36
HTML Tags in Funktion oder Variabler	Tracker	PHP Tipps 2010	7	19.04.2010 11:52
[Erledigt] HTML tags verbieten	spikytux	PHP Tipps 2009	6	07.02.2009 13:48
Posix Regex: Problem beim HTML Tags suchen		PHP Tipps 2005	2	13.09.2008 17:57
mehrere html tags in sql abfrage	THP	Datenbanken	11	19.07.2008 12:48
Nur bestimmten Html Code zulassen?	litterauspirna	PHP Tipps 2008	5	29.04.2008 12:30
[Erledigt] Validation Problem - HTML Tags in Javascript		HTML, Usability und Barrierefreiheit	7	06.03.2006 23:38
HTML Tags als Text ausgeben?	cebe	PHP Tipps 2006	1	03.03.2006 15:50
html tags filtern mit regex UND string ergänzen		PHP Tipps 2006	14	06.01.2006 02:02
html tags anzeigen	me	HTML, Usability und Barrierefreiheit	7	20.01.2005 22:22
[Erledigt] Frage: Text abschneiden aber auf html tags achten		PHP-Fortgeschrittene	1	19.01.2005 20:46
Formatierung und HTML Tags in mySQL Text via PHP		Datenbanken	4	11.01.2005 15:16
strip_tag() - bestimmte html befehle trotzdem zulassen		PHP Tipps 2004	13	02.06.2004 20:38

13.02.2012, 09:49
chickenburner Benutzer Registriert seit: 14.10.2011 Beiträge: 81 PHP-Kenntnisse: Anfänger	bestimmte HTML-Tags zulassen Hallo zusammen, user können auf meiner website seiten erstellen. Den Inhalt können sie mit dem Tinymce-Editor erstellen. Nun ist meine Frage, wie ich diese Geschichte sicher gestallten kann mit maskierungen. Wie trage ich die Eingaben in die Datenbank ein und wie gebe ich sie am besten wieder aus, wenn ich bestimmte HTML-Tags zulassen möchte. Bspw. <strong></strong><h1></h1><h2></h2><br /><font color:#xxxx></font> sollen erlaubt sein, damit der User seinen Text gestallten kann. Ich hoffe ihr könnt mit weiterhelfen. Gruß


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

13.02.2012, 10:08
BangkokInLove Gast Beiträge: n/a	Generell alles verbieten und dann mit ner Whitelist arbeiten. (Da ich mal davon ausgeh das du weniger als die Hälfte der zur Verfügung stehenden Elemente zulassen willst).

13.02.2012, 10:36
chickenburner Benutzer Registriert seit: 14.10.2011 Beiträge: 81 PHP-Kenntnisse: Anfänger	vielen Dank für deine Hilfe ja, genau sowas in der Art schwirrte mir im Kopf herum, allerdings weiss ich nicht so ganz, wie das umgesetzt wird. PHP-Code: `$allowed = "<strong>,</strong>,<h1>,</h1>,..."; $usereingabe = $_POST['usereingabe']; $sichereeingabe = strip_tags($usereingabe, $allowed); $mysql_real_escape_string($sichereeingabe); <- Dies kann nun in der DB gespeichert weren?` ungefähr so? und wie gebe ich das am besten aus? oder reicht dann nur noch echo $sichereeingabe; (also ohne maskierung)?

13.02.2012, 10:45
tr0y Erfahrener Benutzer Registriert seit: 26.07.2010 Beiträge: 4.874 PHP-Kenntnisse: Fortgeschritten	Generell: http://www.shiftedwork.de/blog/2011/...pting-mit-php/ Gutes Werkzeug zum Post-Patching von User-Eingaben die HTML enthalten dürfen: http://htmlpurifier.org/ __________________ Lasse mir ohne Anwendung von Gewalt Dinge schenken, Amazon weiß darüber bald mehr.

13.02.2012, 12:57
chickenburner Benutzer Registriert seit: 14.10.2011 Beiträge: 81 PHP-Kenntnisse: Anfänger	vielen Dank für die Hilfe. In meinem Fall sind es nur wenige Html-codes, die zugelassen werden. Die Geschichte mit dem BB-Code in deinen Links finde ich sehr interessant. Wäre es eine sinnvolle idee, die wenigen codes, die ich zulasse, mit preg_replace in bb-codes umzuwandeln, dann die eingabe mit htmlspecialchars bearbeiten, so dass die nichtzugelassenen codes, unwirksam werden und das dann in die db speichern? Beim Ausgeben, die bb-codes mit preg_replace wieder umwandeln in html-codes? Also: PHP-Code: `preg_replace(<b>, [b], $usereingabe); preg_replace(<h1>, [h1], $usereingabe); preg_replace(<h2>, [h2], $usereingabe); preg_replace(<font color='(.)'>, [font color='(.)'], $usereingabe); htmlspecialchars($usereingabe); <-in DB speichern Ausgabe: preg_replace([b], <b>, $usereingabe); preg_replace([h1], <h1>, $usereingabe); preg_replace([h2], <h2>, $usereingabe); preg_replace([font color='(.)'], <font color=(.)>, $usereingabe); echo $usereingabe;`

13.02.2012, 13:00
tr0y Erfahrener Benutzer Registriert seit: 26.07.2010 Beiträge: 4.874 PHP-Kenntnisse: Fortgeschritten	BBCode-Klasse nutzen, nicht das Rad neu repla...äh erfinden. Des gibbet denn da: http://www.christian-seiler.de/projekte/php/bbcode/ __________________ Lasse mir ohne Anwendung von Gewalt Dinge schenken, Amazon weiß darüber bald mehr.

13.02.2012, 15:35
trollface Benutzer Registriert seit: 24.09.2011 Beiträge: 63 PHP-Kenntnisse: Fortgeschritten	Lass das <font> weg. Es ist schon seit Ewigkeiten als veraltet eingestuft und fliegt mit HTML5 endgültig raus.

13.02.2012, 15:50
fab Erfahrener Benutzer Registriert seit: 28.07.2010 Beiträge: 2.308 PHP-Kenntnisse: Fortgeschritten	Der BBCode-Ansatz ist schon ganz sinnvoll, strip_tags ist keine brauchbare Funktion für Benutzereingaben. __________________ PHP Blog + Library CSS Effects + Tools