Comments on: Как защитить свой web ресурс. Примеры безопасных PHP скриптов. http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html Блог о программировании Mon, 06 Feb 2012 23:19:00 +0000 hourly 1 http://wordpress.org/?v= By: Сергей http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-6364 Сергей Tue, 29 Sep 2009 12:52:48 +0000 http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-6364 Да, именно так я и сделал. Да, именно так я и сделал.

]]> By: Сергей http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-13067 Сергей Tue, 29 Sep 2009 12:52:00 +0000 http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-13067 Да, именно так я и сделал. Да, именно так я и сделал.

]]> By: Владимир http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-6360 Владимир Tue, 29 Sep 2009 11:21:54 +0000 http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-6360 Вы, наверное, имели ввиду "не создавать переменную с другим именем". В вашем случае переменная $Name существует отдельно от элемента массива $_POST[‘Name’]. <blockquote>таким образом скрипт также будет возвращать введенное значение пользователем в окно формы с заменой спец символов</blockquote> Нет, так просто автозаполнение формы сделать не получится. Нужно добавить примерно такой код input .... value="<?php echo $Name; ?>"... Вы, наверное, имели ввиду "не создавать переменную с другим именем".
В вашем случае переменная $Name существует отдельно от элемента массива $_POST[‘Name’].

таким образом скрипт также будет возвращать введенное значение пользователем в окно формы с заменой спец символов

Нет, так просто автозаполнение формы сделать не получится.
Нужно добавить примерно такой код
input …. value="<?php echo $Name; ?>"…

]]> By: Владимир http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-13066 Владимир Tue, 29 Sep 2009 11:21:00 +0000 http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-13066 Вы, наверное, имели ввиду "не создавать переменную с другим именем". В вашем случае переменная $Name существует отдельно от элемента массива $_POST[‘Name’]. <blockquote>таким образом скрипт также будет возвращать введенное значение пользователем в окно формы с заменой спец символов</blockquote> Нет, так просто автозаполнение формы сделать не получится. Нужно добавить примерно такой код input .... value="<?php echo $Name; ?>"... Вы, наверное, имели ввиду "не создавать переменную с другим именем".
В вашем случае переменная $Name существует отдельно от элемента массива $_POST[‘Name’].

таким образом скрипт также будет возвращать введенное значение пользователем в окно формы с заменой спец символов

Нет, так просто автозаполнение формы сделать не получится.
Нужно добавить примерно такой код
input …. value="<?php echo $Name; ?>"…

]]> By: Сергей http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-6343 Сергей Tue, 29 Sep 2009 04:06:23 +0000 http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-6343 Интересно. Я только начинаю программировать на PHP. Я так понимаю вместо предложенного автором способа (<code>$safeText = htmlspecialchars($_POST[‘text’]);</code>), чтобы не создавать дополнительную переменную можно использовать, например, <code>$Name = htmlspecialchars($_POST[‘Name’]);</code> или <code>$Text = htmlspecialchars($_POST[‘Text’]);</code>, таким образом скрипт также будет возвращать введенное значение пользователем в окно формы с заменой спец символов. Интересно. Я только начинаю программировать на PHP. Я так понимаю вместо предложенного автором способа ($safeText = htmlspecialchars($_POST[‘text’]);), чтобы не создавать дополнительную переменную можно использовать, например, $Name = htmlspecialchars($_POST[‘Name’]); или $Text = htmlspecialchars($_POST[‘Text’]);, таким образом скрипт также будет возвращать введенное значение пользователем в окно формы с заменой спец символов.

]]> By: Сергей http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-13065 Сергей Tue, 29 Sep 2009 04:06:00 +0000 http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-13065 Интересно. Я только начинаю программировать на PHP. Я так понимаю вместо предложенного автором способа (<code>$safeText = htmlspecialchars($_POST[‘text’]);</code>), чтобы не создавать дополнительную переменную можно использовать, например, <code>$Name = htmlspecialchars($_POST[‘Name’]);</code> или <code>$Text = htmlspecialchars($_POST[‘Text’]);</code>, таким образом скрипт также будет возвращать введенное значение пользователем в окно формы с заменой спец символов. Интересно. Я только начинаю программировать на PHP. Я так понимаю вместо предложенного автором способа ($safeText = htmlspecialchars($_POST[‘text’]);), чтобы не создавать дополнительную переменную можно использовать, например, $Name = htmlspecialchars($_POST[‘Name’]); или $Text = htmlspecialchars($_POST[‘Text’]);, таким образом скрипт также будет возвращать введенное значение пользователем в окно формы с заменой спец символов.

]]> By: Владимир http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-5898 Владимир Fri, 04 Sep 2009 17:51:05 +0000 http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-5898 Да, это точно :) XSS касается только удаления скриптов из пользовательского ввода, порча дизайна - отдельная тема... но тоже важная ;) Да, это точно :) XSS касается только удаления скриптов из пользовательского ввода, порча дизайна – отдельная тема… но тоже важная ;)

]]> By: Владимир http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-13064 Владимир Fri, 04 Sep 2009 17:51:00 +0000 http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-13064 Да, это точно :) XSS касается только удаления скриптов из пользовательского ввода, порча дизайна - отдельная тема... но тоже важная ;) Да, это точно :) XSS касается только удаления скриптов из пользовательского ввода, порча дизайна – отдельная тема… но тоже важная ;)

]]> By: vvpol http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-5887 vvpol Thu, 03 Sep 2009 19:53:05 +0000 http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-5887 <blockquote>Например, вы хотите в сайдбаре показать виджет с последними комментариями...</blockquote> это не пользовательский ввод... По поводу Word-а никаких проблем, там все под классы и корректно ни в один wysiwyg он не войдет, в смысе, пользователь сам увидит, что ничего не получилось. По поводу RSS... честно говоря, не знал что там html форматированый текст гонят... А вот за идею корректной обрезки форматированного текста - Вам огромный <strong>respect</strong>. На вскидку, все ложится отлично. К среде выложу тест. Кажется, мы уже далеко ушли от темы xss %o)

Например, вы хотите в сайдбаре показать виджет с последними комментариями…

это не пользовательский ввод…
По поводу Word-а никаких проблем, там все под классы и корректно ни в один wysiwyg он не войдет, в смысе, пользователь сам увидит, что ничего не получилось.
По поводу RSS… честно говоря, не знал что там html форматированый текст гонят…
А вот за идею корректной обрезки форматированного текста – Вам огромный respect. На вскидку, все ложится отлично. К среде выложу тест.
Кажется, мы уже далеко ушли от темы xss %o)

]]> By: vvpol http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-13063 vvpol Thu, 03 Sep 2009 19:53:00 +0000 http://www.simplecoding.org/kak-zashhitit-svoj-web-resurs.html#comment-13063 <blockquote>Например, вы хотите в сайдбаре показать виджет с последними комментариями...</blockquote> это не пользовательский ввод... По поводу Word-а никаких проблем, там все под классы и корректно ни в один wysiwyg он не войдет, в смысе, пользователь сам увидит, что ничего не получилось. По поводу RSS... честно говоря, не знал что там html форматированый текст гонят... А вот за идею корректной обрезки форматированного текста - Вам огромный <strong>respect</strong>. На вскидку, все ложится отлично. К среде выложу тест. Кажется, мы уже далеко ушли от темы xss %o)

Например, вы хотите в сайдбаре показать виджет с последними комментариями…

это не пользовательский ввод…
По поводу Word-а никаких проблем, там все под классы и корректно ни в один wysiwyg он не войдет, в смысе, пользователь сам увидит, что ничего не получилось.
По поводу RSS… честно говоря, не знал что там html форматированый текст гонят…
А вот за идею корректной обрезки форматированного текста – Вам огромный respect. На вскидку, все ложится отлично. К среде выложу тест.
Кажется, мы уже далеко ушли от темы xss %o)

]]>