Discussion :

[madcorp]

Bonjour,

Je suis en train de faire un système de template dans lequel les utilisateurs peuvent définir leurs propres designs en HTML/JS.
Cependant, les templates étant intégrées dans des pages PHP qui seront mises en caches puis exécutées, j'ai besoin de m'assurer que ces templates ne contiennent pas de code PHP.

J'aurais donc besoin de supprimer de manière sûre et certaine tout le PHP qui pourrait être contenu dans un texte.

Voyez-vous une faille dans ce script ? Avez-vous mieux ?

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
 
// Boucle jusqu'à ce que aucun remplacement ne soit nécessaire
do
{
   $data = preg_replace("@(<\?php|<\?|\?>|<script[ \t]+language[ \t]*=[ \t]*[\"']?php[\"']?[^>]*>)@i","",$data, -1, $nb);
} while($nb != 0);

Merci d'avance.
Mad.

[goodpz]

Inutile de boucler avec do while. Par défaut, ça remplace le maximum possible. (fait des echo, tu devrais le constater)

Ceci est juste un peu mieux, ça prend en compte les éventuels retours à la ligne pour la partie script:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

"@<\?php|<\?|\?>|<script\s+language\s*=\s*[\"']?\s*php\s*[\"']?[^>]*?>@i"

[madcorp]

Héhé, merci pour la réponse, mais si j'ai bouclé c'est qu'au début j'avais pas bouclé et que je suis arrivé à hacker mon truc en 30s en écrivant :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
<<?php?php
   // some code
??>>

Ce qui après regexp donne un bon :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
<?php
   // some code
?>

[goodpz]

Tu as raison ! ; )

[madcorp]

En tout cas tu as trouvé une faille, on peut mettre des retours chariots dans la balise script donc je retiens :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
do
{
   $data = preg_replace("@(<\?php|<\?|\?>|<script\s+language\s*=\s*[\"']?php[\"']?[^>]*>)@i","",$data, -1, $nb);
} while($nb != 0);

Quelqu'un d'autre voit encore une faille possible ou aurait une meilleure façon de faire ?

[goodpz]

On peut mettre aussi des espaces (retours chariot etc) dans la valeur de l'attribut language non ?

"php" ==> " php " etc

Donc vaudrait mieux les virrer aussi

[madcorp]

J'ai testé, et non ça ne passe pas