извиняюсь

https://gist.github.com/mrcat323/0d22099dcc0ee326231d51cd06b2faff

#whois 1. Рекламное агенство 2. Все что связано с беком и фронтом на пыхе, vue, etc 3. Фуллстек сколько себя помню ?

#whois 1. vsemayki.ru, fullstack developer 2. php7(laravel, yii2, etc), typescript(react, vuejs, etc), nodejs, go (SOA) 3. Немного о себе: я наркоман

#whois 1. Smite 2. Fullstack Developer 3. Simple CaT

Белый кот, помоги коту

https://gist.github.com/mrcat323/0d22099dcc0ee326231d51cd06b2faff

$_REQUEST["word"] = "<br>123</br>"; $word = $_REQUEST["word"]; $result = htmlspecialchars(stripslashes($word), ENT_NOQUOTES); var_dump($result);

оберни в какую-то ф-цию мб, если принципиально $returnData = stripslashes(strip_tags(htmlspecialchars(trim($data)))); return $returnData; но лучше от инъекций подготовленные запросы

экранируй

та сделал

с htmlspecialchars, strip_tags, stripslashes

с htmlspecialchars, strip_tags, stripslashes

на хост запулил изменения?

да

можешь поглядеть в сторону filter_input

оберни в какую-то ф-цию мб, если принципиально $returnData = stripslashes(strip_tags(htmlspecialchars(trim($data)))); return $returnData; но лучше от инъекций подготовленные запросы

что

за бреж я вижу?

оберни в какую-то ф-цию мб, если принципиально $returnData = stripslashes(strip_tags(htmlspecialchars(trim($data)))); return $returnData; но лучше от инъекций подготовленные запросы

это вообще от sql иньекций не спасет

что ты написал

что

помогай

я не очень понимаю от чего он хочет защититься

от sql иньекций или xss ?

от XSS

данные ты куда размещаешь?

БД

просто в html

нет

причем тут бд и xss ?

как оно связано ?

в бд можно сделать sql injection

из бд можно вытащить данные

все же хочу защититься от XSS

и при отрисовке пользователя его кука например уйдет на сторонний сайт

некрасиво смотриться

данные в бд

хочешь отоброзить их на сайте

условно твои данные в шаблоне могут попасть в следущие категории 1. Внуторь тэга (например <div>$content</div> 2. В атрибуты тэга <div data-my-attr="$content"></div> 3. В урл ссылки <a href="?query=$content">link</a>

ну и 4 вариант по сути равносильный третьем <script>$content</script>

у тебя какой вариант?

1

http://php.net/manual/ru/function.htmlspecialchars.php

при условии нормальной кодировки

как написано в описание функции

при условии нормальной кодировки

хорошое уточнение

все в доке написано

черным по серому русскими буквами

stripslaches тут избыточен

а еще есть вариант что данные попадут в <img src="$content"> пятый вариант)

&& oneerror onclick

onerror onclick равносильно <a href="любой js"Ю

браузер в адресной строке Js исполняет

а в img src можно вернуть документ типом джаваскрипт и его браузер тоже исполнит

бля давно в спецификацию не заглядывал

так что мне делать?

htmlspecialchars

написал же

та не работает

весь день парюсь из-за нее

что не работает

htmlspecialchars

у тебя в шаблоне

<a href="article.php?id=',$id

$Id из бд используется

$row['id']

который ссылку формирует

ERROR: S client not available

сделай $id = htmlspecialchars($row['id']); и так для всех что в html выводишь

ок, благодарен

чем больше людей не читают документацию

тем дороже я как специалист для работадателя

и тем выше я могу просить зп)

для этого в 2006 году на языке шаблонизатора

начали писать шаблонизаторы

всякие smarty, twig и тд

там автоматический эскейпинг

чтобы такого не было

чтобы не забыть случайно через эту функцию что нибудь прогнать

вот ты сейчас помог человекУ, можно сказать копеечку от сердца оторвал

все равно не работает htmlspecialchars для $_REQUEST["word"]

Ребята, сорри за нубские вопросы, не часто пользуюсь Telegram. но как по тегам искать? у меня версия для ПК

Ребята, сорри за нубские вопросы, не часто пользуюсь Telegram. но как по тегам искать? у меня версия для ПК

или нажать на тег, он кликабельный

о, спс))

все равно не работает htmlspecialchars для $_REQUEST["word"]

покажи код

/link@yetanotherstatsbot

https://yasb.exileed.com/t/phpgeeks

/stat@combot

combot.org/chat/-1001047863278

https://gist.github.com/mrcat323/0d22099dcc0ee326231d51cd06b2faff

О, в ретенш рейтинге в тройке держусь)

все равно не работает htmlspecialchars для $_REQUEST["word"]

ты сам в адресной строке пишешь <script>alert("xss")</script>?

в поле для ввода

а где ты его выводишь на экран

Бобрый вечер!

я почти на 100% уверен ты показываешь не тот участок кода где выводится твой word

это тот участок кода где выводиться мой word