Une alternative à htmlspecialchars?

Version imprimable

03/12/2010, 22h34
Stormy68

Une alternative à htmlspecialchars?

Bonsoir,

Pour éviter une injection de HTML via la faille XSS, j'ai lu qu'il fallait utiliser htmlspecialchars. Cependant cette fonction est plutôt contraignante. Par exemple dans un système de news où les articles seraient enregistrés dans une bdd, il serait impossible d'afficher le texte en gras: on récupère

Code:

<strong>texte</strong>

de la bdd mais htmlspecialchars empêche leur activation.

Existe-t-il une alternative? Par exemple refuser tout formulaire contenant du code HTML et utiliser des balises bbcode qui seront remplacées par des balises HTML?

Merci!
04/12/2010, 01h21
sabotage

Tu as déjà la solution apparemment.
07/12/2010, 08h19
ilalaina

Bonjour,
Tu peux très bien utiliser htmlspecialchars lors de l'enregistrement dans la BDD et ensuite utiliser htmlspecialchars_decode lorsque tu veux afficher les données.
07/12/2010, 10h07
stealth35

Citation:

Envoyé par ilalaina

Bonjour,
Tu peux très bien utiliser htmlspecialchars lors de l'enregistrement dans la BDD et ensuite utiliser htmlspecialchars_decode lorsque tu veux afficher les données.

en faisant ça, tu foires ta base de données et en plus t'es soumis au XSS...

sinon on peut toujours utiliser strip_tags et garder les balises du type <strong>