BartTheDevil89

Hallo.....
also es gibt doch die sogenannten WYSIAG-Editoren(oder wie die heißen), mit denen man über einen Onlineeditor komplette Pages erstellen kann und die dann den passenden html-Code für ausliefern.
Ich habe jetzt so einen eingebaut und dieser Übergibt ja eine Variable mit dem html-Code an mich. Diese Variable möchte ich aber jetzt noch sicherheitstechnisch überprüfen.
Gibts da irgendwie Ideen, auf was und wie ich das am besten überprüfe? Denn es soll zwar html, script-Codes drin sein, allerdings natürlich kein php, etc.......

Mister Ad

KingCrunch

Wovon genau redest du? Die mir bekannten Editoren speichern direkt in HTML und da is nix mit Variablen ^^ Zumal ich bei solchen Editoren die Seite selber baue und ich dann eigentlich weiß, was da drin is. Was wird denn nun wovon, wie an wen übergeben?

__________________
Nicht jeder Fehler ist ein Bug.

BartTheDevil89

Jaja, die speichern ja direkt in html....also der Editor erstellt nen html-Code und dann kann ich auf absenden klicken und er übergibt mir diesen html-Code in einer Variable(also wie ein Formular) und den kann ich dann zum Beispiel in der Datenbank abspeichern.

KingCrunch

Ich versteh dich weiterhin nicht:
Wie gesagt: Wenn ich so ein Editor verwende, wird da überhaupt nix versendet, sondern ich habe dann irgendwo auf meiner Festplatte eine (idR) HTML-Datei rumfliegen. Es wäre also nett, wenn du mir zumindest mitteilen könntest, um was genau es eigentlich geht

__________________
Nicht jeder Fehler ist ein Bug.

BartTheDevil89

Ja genau.......aber eben nicht auf deiner Platte, sondern das ganze läuft online ab:

http://www.online-html-editor.de/

In dem oben genannten Beispiel kann man ja den Code als Datei abspeichern, aber bei mir ist es so, dass ich es in einer Datenbank abspeichere. Und bevor ich das in der Datenbank abspeichere, muss ich eben überprüfen, ob irgendwie php-Code, etc. mit eingegeben wurde über den html-modus. Denn wenn php-Code drinwäre, ich den dann aus der Datenbank abfrage und irgendwo include, zeigt er mir ja den php-Code an, also muss ich den php-Code schon beim erstellen der Seite ja rausziehen und das will ich eben direkt nach dem erstellen durch den Editor machen.

KingCrunch

Achso ^^ Na, sowas musste scho dazu sagen

Na, wenn er den Code nur anzeigt, is doch halb wild. Ansonsten kannste auf öffnende PHP-Tags (meist <?php) prüfen und den dann entfernen, bzw ein Fehler ausgeben.

__________________
Nicht jeder Fehler ist ein Bug.

nikosch

Es gibt normalerweise keinen Grund, eine html Datei irgendwo per include einzubinden. Dynamische Elemente kannst Du per Platzhalter-Parsing einfügen, deshalb reicht Einlesen mit file_get_contents (). Bei Direktaufruf solltest Du den Server so konfigurieren, dass nur php Dateien interpretiert werden.
Achtung ist lediglich auf Javascript zu legen, auch damit kann man jede Menge Schindluder treiben: Ajax, Weiterleitungen, Session und Cookie Manipulation

WYSIWYG meint übrigens What You See IS What You Get

BartTheDevil89

Ja, genau das meine ich, dass man eben auf sowas prüft. Und die Frage ist eben, auf was ihr mir ratet alles zu prüfen und wie ich das dann am besten mache, da es ja von deinem beispiel zum beispiel einige Varianten gibt <? <?php

Danke

dr.e.

Hallo BartTheDevil89,

wenn du auf JAVA-Script prüfen möchtest, kannst du nach "<script" suchen. Im Grunde musst du dir nur die unterschiedlichen Bereiche, die du filtern möchtest ansehen und die Syntax analysieren. Suche dort nach sehr häufig auftretenden Schlüsselwörtern und filter danach. Man könnte auch per soundex() bzw. levenshtein() nach ähnlich klingenden Wörtern suchen.

__________________
Viele Grüße,
Dr.E.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
1. Think about software design before you start to write code!
2. Discuss and review it together with experts!
3. Choose good tools (-> Adventure PHP Framework (APF))!
4. Write clean and reusable software only!
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

KingCrunch

@Bart: Es gibt verschiedene, das stimmt, aber sie sind endlich 3 oder? Ich benutze nur eine, deshalb hab ich die anderen net im Kopf. Denk aber daran, dass der schließende Tag in bestimmten Situationen auch fehlen kann.

__________________
Nicht jeder Fehler ist ein Bug.