[Erledigt] Sinn von strip_tags

[drsoong]

Hallo

Ich lese neulich die Empfehlung zur XSS - Abwehr htmlentities zusammen mit strip_tags anzuwenden. Also so

$output = htmlentities(strip_tags($ausdruck)); 

Allerdings macht strip_tags allerlei ungewolltes mit meinem String.

Z. B. aus

"a<c"

wird

a

Das ist natürlich nicht so brauchbar, weswegen ich strip_tags gleich wieder in die Mottenkiste schmeissen will.

Frage:
htmlentities sind meines Wissens auch ausreichend zur XSS-Abwehr. Oder etwa nicht?

[drsoong]

Danke für Eure Kommentare. Dann liege ich wohl richtig.

[Paul.Schramenko]

strip_tags
ist auch sehr nützlich beim erstellen von nicht HTML-Dokumenten, wie zum Beispiel PDF's bei denen sonst die HTML-Entities als String angezeigt werden

[Flor1an]

strip_tags entfernt halt HTML und PHP Tags. Normalerweise brauchst du diese nicht zu entfernen da durch htmlentities/htmlspecialchars entsprechend diese nicht mehr gefährlich für XSS sind.

[Squall]

Mir ist nichts gegenteiliges bekannt.