Discussion :

[PIEPLU]

Bonjour,

A l'affichage de données de mes membres, je voudrais bloquer les petits malins qui ont mis des balises genre <script> mais pas les liens ou img.

Est ce que cela est possible de bloquer que certaines ?

Merci

[grunk]

Utilise strip_tag avec des exceptions (2nd paramètres)

[PIEPLU]

Je n'ai pas accès à la doc.

Ca fonctionne comme ca ?

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

<?php strip_tags($_POST['contenu'], '<a>') ?>

On peut mettre plusieurs balises ?

Merci

[Doksuri]

Je n'ai pas accès à la doc.

sinon :

Exemple #1 Exemple avec strip_tags()

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
<?php
$text = '<p>Test paragraph.</p><!-- Comment --> <a href="#fragment">Other text</a>';
echo strip_tags($text);
echo "\n";
 
// Autorise <p> et <a>
echo strip_tags($text, '<p><a>');
?>

L'exemple ci-dessus va afficher :
Test paragraph. Other text
<p>Test paragraph.</p> <a href="#fragment">Other text</a>

[PIEPLU]

En fait, je pense qu'il faut voir le problème dans l'autre sens.
J'ai des personnes qui ajoute des tags comme <3 et j'aimerais les garder.

En gros, je voudrais bloquer les balises comme <script>

Vous avez une idée ?

[Doksuri]

Code Php :

Sélectionner tout - Visualiser dans une fenêtre à part

strip_tags($text, '<script>');

?

[stephanegib2]

strip_tags() tente de retourner la chaîne str après avoir supprimé tous les octets nuls, toutes les balises PHP et HTML du code.
en gros si quelqu'un met une balise <script> dans son texte, et que ton code contient ceci : strip_tags($text, '<script>'); comme ta conseillé Doksuri, la balise sera enlevée. A part si ce n'est pas sa que tu veut.

[grunk]

strip_tags() tente de retourner la chaîne str après avoir supprimé tous les octets nuls, toutes les balises PHP et HTML du code.
en gros si quelqu'un met une balise <script> dans son texte, et que ton code contient ceci : strip_tags($text, '<script>'); comme ta conseillé Doksuri, la balise sera enlevée. A part si ce n'est pas sa que tu veut.

C'est le contraire : strip_tags($text, '<script>') va supprimer tout sauf la balise script ...

[stephanegib2]

Oui effectivement, autant pour moi. Il va supprimer toutes les balises html et PHP et va laisser la balise <script>.

Dans ce cas tu peut faire str_replace('<script>' ,'',$text);

[PIEPLU]

Oui, j'ai utilisé cette dernière solution finalement
merci

[amoiraud]

Oui effectivement, autant pour moi. Il va supprimer toutes les balises html et PHP et va laisser la balise <script>.

Dans ce cas tu peut faire str_replace('<script>' ,'',$text);

Pas très efficace si on tente ce genre de trucs :
<scr<script>ipt>alert('test')</scr</script>ipt>

Ou même :
<script type="text/javascript">alert('test')</script>

C'est pour ca qu'il faut toujours privilégier les listes blanches aux listes noirs, et ne pas oublier que les balises les plus annodines peuvent réserver des surprises :
<img src="fake.jpg" onError="alert('test')" />

[PIEPLU]

Ah merde, je suis perdu alors :S

[dedeweb]

Je crois que ce site http://htmlpurifier.org/ propose uns script?

[Doksuri]

C'est le contraire : strip_tags($text, '<script>') va supprimer tout sauf la balise script ...

ah oui... bien vu... j'ai machinalement repondu ca sans reflechir ... shame on me