[Erledigt] Affenformular - htmlentities

[MaxC]

Hallo zusammen,

ich habe in letzter Zeit einige Artikel zum Thema Usereingaben validieren/absichern studiert und versuche ein wenig damit zu experimentieren.

Wenn ich das richtig verstanden habe, ist es wohl üblich Sonderzeichen im Sinne von Umlauten, ', " in der Datenbank unkodiert abzuspeichern wegen erleichterter Suche usw. Ich möchte nach "Müller" suchen und nicht nach "Müller".
Für die Ausgabe allerdings werden diese Zeichen in Entities umgewandelt.

Soweit richtig?

Nun versuche ich ein einfaches Affenformular zu erstellen und die Eingaben dabei vorerst mal nur mit strip_tags und htmlentities abzusichern.
Nehmen wir an, ein User postet

<b>Test</b> /"> hallo

nach

$var = htmlentities($var, ENT_COMPAT, 'UTF-8');
$var = strip_tags($var); 

wird daraus

Test /"> hallo

Soweit alles klar, wird das Formular ausgefüllt nochmals dargestellt weil z.B. irgendein anderes Feld nicht durch die Validierung kommt, schafft der User es nicht aus dem Inputfeld auszubrechen.

Wenn jetzt aber die Eingabe des anderen Inputfeldes bereinigt wird, bekomme ich ja wieder

Test /"> hallo

geschickt (vom vorherigen Versuch bereits so vorausgefüllt).
Nun muss ich also um sicher zu gehen alle geposteten Daten dekodieren um sie in der Form in die DB zu bringen. Nur um sie dann, bei der Ausgabe, wieder zu kodieren.

Irgendwie erscheint mir das umständlich.

Hab ich da wo einen Gedankenfehler oder ist das die übliche Art solche Sachen anzupacken?

Schonmal danke!

[fab]

Gedankenfehler

Das Formular enthält im Quelltext zwar so etwas:

<input type="text" value="Test /&quot;&gt; hallo">

aber abgesendet wird das was du auch im Browser siehst, also

'Test /"> hallo' 

[ChrisB]

Soweit richtig?

Soweit richtig.

Nun versuche ich ein einfaches Affenformular zu erstellen und die Eingaben dabei vorerst mal nur mit strip_tags und htmlentities abzusichern.

strip_tags „sichert“ nichts ab, sondern strip_tags verstümmelt die Daten!

Nehmen wir an, ein User postet

<b>Test</b> /"> hallo

Nehmen wir an, hier im Forum würde strip_tags eingesetzt - dann hättest du dieses Beispiel jetzt gar nicht posten können ...!

Damit sollte klar sein, wie sinnlos strip_tags ist.
Wenn der Nutzer spitze Klammern oder gar sowas wie „Tags“ posten möchte - dann lass' ihn doch.

Wenn jetzt aber die Eingabe des anderen Inputfeldes bereinigt wird, bekomme ich ja wieder

Test /"> hallo

geschickt (vom vorherigen Versuch bereits so vorausgefüllt).

Nein, bekommst du nicht.

[MaxC]

@fab
Interessant. Da hab ich wohl vorhin viel zu kompliziert gedacht. Danke!

@ChrisB
hmmm... Verstümmeln? So hab ich das noch nicht gesehen.
Irgendwie erscheint mir strip_tags in manchen Fällen schon sinnvoll. Wenn ich z.B. ein Namensfeld für ne Registrierung oder ähnlich hab. Da haben doch HTML-Tags eigentlich nichts drinn zu suchen, oder? Wobei man da wahrscheinlich eher in die Richtung "a-Z, 0-9 und Leerzeichen sind erlaubt, andere nicht" geht.

Zusammengefasst also:
HTML-Tags erlauben, aber für die Ausgabe kodieren.
Falls Userinput original angezeigt werden soll, z.B. wenn ich Fett, Kursiv, ... erlauben will, mit Tools wie HTML-Purifier arbeiten, richtig?

[ByStones]

Wenn ich z.B. ein Namensfeld für ne Registrierung oder ähnlich hab. Da haben doch HTML-Tags eigentlich nichts drinn zu suchen, oder?

Ham sie auch nicht, aber dann sagst du dem User einfach was Sache ist, nämlich dass kein Sonderzeichen a la < und > erlaubt sind und gut ist.
Und nicht einfach ne Funktion drüberwursteln wo nachher was ganz anderes rauskommt als der User eingegeben hat.

Falls Userinput original angezeigt werden soll, z.B. wenn ich Fett, Kursiv, ... erlauben will, mit Tools wie HTML-Purifier arbeiten, richtig?

Ja, oder du benutzt BB-Codes, was aber ungefähr in die gleiche Richtung geht.

[MaxC]

Mensch, und ich war so stolz ne Möglichkeit gefunden zu haben das HTML-Zeugs loszuwerden

Naja, wieder was dazu gelernt.
Danke euch allen für die Antworten!

[ByStones]

Mensch, und ich war so stolz ne Möglichkeit gefunden zu haben das HTML-Zeugs loszuwerden

Mit htmlentities wirst du es ja auch los, da es dann einfach als normaler Text ausgegeben wird und man damit nichts mehr böses machen kann.
Wenn jemand < und > zum formatieren seiner Beiträge verwenden will ist das völlig ok, er darf bloß keinen Schadecode einbauen können.

[MaxC]

Ja, ist mir --jetzt-- auch klar.
War eher ironisch/selbstkritisch gemeint