Evitare codice HTML?

[teju]

Ciao gente, di sicuro se n'è già parlato, ma non sono riuscito a trovare nulla facendo una search...
Ho una form con la possibilità di inserire una descrizione.
Mettiamo che l'utente mal intenzionato inserisca dentro codice HTML che richiami script o simili dannosi... Come faccio ad impedire che il testo contenga appunto HTML o Java vari?

Thanks

[Samleo]

O fai tanti ereg_replace...oppure una funzioncina che ti strippa le stringhe...

[fcaldera]

http://it.php.net/strip_tags
http://it.php.net/manual/it/function...ecialchars.php

[ecmedia]

O anche htmlentities().

[thitan]

si bhè.. qualunque soluzione usi, poi fai un giro su
http://ha.ckers.org/xss.html
e controlla che il tuo metodo funzioni con tutti gli esempi riportati..

strip_tags() alcuni li lascia passare

[MacApp]

Il punto non è tanto cercare d'impedire che ti cracchino il sito (se vogliono lo fanno punto), quanto permettere agli utenti non craccanti di inserire normalmente caratteri che in altri contesti potrebbero esseri interpretati come craccanti.

p.s. son filosofico oggi.

[thitan]

Originariamente inviato da MacApp
Il punto non è tanto cercare d'impedire che ti cracchino il sito (se vogliono lo fanno punto), quanto permettere agli utenti non craccanti di inserire normalmente caratteri che in altri contesti potrebbero esseri interpretati come craccanti.

p.s. son filosofico oggi.

vero.. secondo me basta specificare che, a seconda del campo, uno può o non può inserire certi caratteri, e bom, l'utente poi si adatta..

se nel campo nome, o email, mi ci metti '<', o sei pirla, o stai provando un injection

[teju]

Originariamente inviato da ecmedia
O anche htmlentities().

eccola! Mi ricordavo qualcosa di simile ma non mi veniva in mente!

[teju]

Originariamente inviato da MacApp
Il punto non è tanto cercare d'impedire che ti cracchino il sito (se vogliono lo fanno punto), quanto permettere agli utenti non craccanti di inserire normalmente caratteri che in altri contesti potrebbero esseri interpretati come craccanti.

p.s. son filosofico oggi.

Filosoficamente regge come discorso... ma mi sa ha ragione thitan che mettere un "<" in un campo nome o mail potrebbe sì esser un errore, ma solo allo 0,1%!