[PHP]Wrzucanie filmów yt przez formularz - zabezpieczenie Opcje

[stefan33]

Witam
Chcę na swojej stronie umieścic opcje dodawania filmików z yt. Jakoś specjalnie się nad tym nie zastanawiałem, wymyslilem z kopa krótki kod i chcialbym sie tylko upewnić czy jest on bezpieczny, ew. czy istnieje jakiś lepszy sposób. Z góry dziekuje za wszystkie odpowiedzi

kod:

[PHP] pobierz, plaintext 
$link=$_POST['yt_link'];
$link=htmlentities(mysql_real_escape_string($link));
 
//przywrocenie & po htmlentities
$link=str_replace("&","&",$link);
 
//wyszukanie wystapienia youtube
if(preg_match_all("/.*youtube/",$link,$match)!= false)
{
	$found=$match[0][0];//ciąg typu http://www.youtube
	$linkLen=strlen($link);
	$correct=0;
 
	$i=strlen($found);
	while($i<$linkLen) //wyszukanie .com, .pl itd.
	{
		if($link[$i]=="/")
		{
			$correct=1;
			break;
		}
		else $i++;
	}
 
	if($correct==0)
	{
		echo "nieporawny";
	}
	else
	{
		$verifiedLink="http://youtube.com".substr($link,$i,$linkLen); //podmiana calego ciagu zakonczonego na np. youtube.com na http://youtube.com
	}
}
else echo "niepoprawny";
[PHP] pobierz, plaintext 

W ten sposob oczywiscie ktos moze wrzucic niepoprawny link, ale nie bedzie on niebezpieczny, w tym kodzie generalnie chodzi o to, zeby bezwzgledny link wskazywal na youtube. Tak wiec prosze o ew. potwierdzenie czy to jest poprawnie oraz sugestie polepszenia(w kwestii bezpieczenstwa). Z góry dziekuje za wszystkie odpowiedzi

Ten post edytował stefan33 20.10.2012, 14:52:22

[markonix]

Co to jest niebezpieczny link?
Czy niebezpiecznym linkiem jest link do innej strony?

Co do walidacji linka nie prościej jest sprawdzić czy pierwsze 20 znaków stringa to "http://youtube.com/" ?
Nie da się się tu nic oszukać (porobić jakiś sudomeny czy inne pseudolinki) bo sprawdzasz od protokołu do domeny.


edit: ewentualnie link www bo youtube robi przekierowanie bez "www" na "z www".

Ten post edytował markonix 20.10.2012, 17:43:35

[stefan33]

Co to jest niebezpieczny link?
Czy niebezpiecznym linkiem jest link do innej strony?

Co do walidacji linka nie prościej jest sprawdzić czy pierwsze 20 znaków stringa to "http://youtube.com/" ?
Nie da się się tu nic oszukać (porobić jakiś sudomeny czy inne pseudolinki) bo sprawdzasz od protokołu do domeny.


edit: ewentualnie link www bo youtube robi przekierowanie bez "www" na "z www".

Link do innej strony niz yt jest co najmniej niepożądany, a niebezpieczny też moze byc (IMG:style_emoticons/default/tongue.gif)
Taka walidacja to nie bardzo, bo odrzucaloby poprawne linki np. bez "http://" tez jest poprawny, podobnie z domena np. ".pl" jest poprawny, wiec teoretycznie jest to prostsze, ale z kolei bardzo nieprzyjazne dla uzytkownikow

Ten post edytował stefan33 20.10.2012, 19:23:07