Sicherheit bei WYSIWYG-Editor

Ist auch meiner Meinung nach die optimalste Lösung ..
Den Rest braucht man nicht und man hat keine unschönen HTML-Tags in der Datenbank.

Ja, der Meinung bin ich mittlerweile auch

Werde nun mal nach einem JavaScript-Code suchen, der mir die BB-Codes schön in Textfeld setzt, bzw beim markierten Wort umschließt.

Danke nochmals!

Hallo ihr Lieben, ich bins nochmal!

Ich habe mir noch einmal den ckEditor geholt, da ich nun über eine Funktion gestolpert bin, womit ich sehr präzise sagen kann, was der Benutzer speichern kann. Ich nutze dazu strip_tags() mit eine Whitelist. (z.B. strip_tags($str, '<b><i><u><img><table><tr><td>'))

Das ist wirklich sehr geil, denn so kann ich sperren/freigeben, was ich möchte. Jetzt kommt aber ein kluger Benutzer daher und setzt ein Bild in den Editor mit folgendem Code: <img src="broken.jgp" onerror="alert('fail!');" />

Gibt es jetzt noch eine Möglichkeit zu bestimmen, welche Attribute ein Benutzer in die HTML-Tags setzen darf? Beim Bild soll er nur src und von mir aus noch alt, title, width und height verwenden können. Weil so ist das genau so unsicher wie vorher (Cookie/Session-Hijacking) Da muss es doch eine Lösung für geben oder?

Ich danke euch!

Da verstehe ich gar nichts.

Steht dort irgendwo eine Lösung zu meinem Problem?

Danke!

Kann mir niemand sagen, wie ich <src="javascript::... oder dergeleichen nun noch sperren kann? Dann hätte ich alles.

Mit strip_Tags() und der Whitelist fahre ich momentan ganz gut, nur im <img src="" onerror="alert('fail');" kann man noch JS ausführen

Würdem ich sehr über Hilfe freuen!

DANKE!

Danke euch!

Leider habe ich das Gefühl, dass es dagegen keine anständige Lösung gibt. Bin nun auf den TinyMCE gestoßen und der kann das alles als BB-Code speichern. Finde ich gut, allerdings speichert er nicht alles so ab. Aber das ist schon einmal ein Anfang.

Kennt jemand vielleicht noch einen WYSIWYG-Editor der alles als BB-Code speichert und ich das dann in einer Funktion entsprechend umwandele?

Danke euch für die Hilfe, habt mir gut geholfen!

hey

danke für deine Antwort. Was wird hier im Forum eigentlich für ein Editor genutzt? Wenn ich oben auf Quellcode gehe, sehe ich auch BB-Codes. Genau so etwas suche ich auch, der mit BB-Codes in die Datenbank kloppt. Haben die aber wahrscheinlich selbst programmiert oder?

Weil das wäre die Lösung. Der Editor ist ein WYSIWYG-Editor wie hier und speichert mit aber kein HTML sondern BB-Codes in der Datenbank. Das wäre ein Traum.