Aide sur replace

bonjour, peut-on trouver un code plus sécurisé que:

Code:

---

u = u.replace(/\[IMG\](.*?)\[\/IMG\]/gi, "<img src=\"$1\">");

---

car ce code accepte aussi les attributs ex :aie::

Code:

---

[IMG]http://monimage" onclick="alert('ok')[/IMG]

---

ce qui me donne:

Code:

---

<img src="http://monimage" onclick="alert('ok')">

---

on peut voir un exemple de string de départ ??? avec et sans attributs...

quel est le caractère de fin de l'url ??

dans ton exemple si c'est " ...

Code:

---

\[IMG\]([^"])*

---

ex1:

Code:

---

chaine=[IMG]http://monimage[/IMG]

---

renvoie:

Code:

---

<img src="http://monimage">

---

ex2:

Code:

---

chaine=[IMG]http://monimage" onclick="alert('faille')[/IMG]

---

renvoie:

Code:

---

<img src="http://monimage" onclick="alert('faille')">

---

peut-on virer le code situé à droite du "=" par exemple ?

Il n'a pas de " entre [IMG][/IMG]
donc ce code

Code:

---

\[IMG\]([^"])*

---

n'est pas adapté

Code:

---

[IMG]http://monimage" onclick="alert('faille')[/IMG]

---

ben y'en a un là dans ton exemple ..

Je voulais dire que moi je n'attendais pas à un " dans le code, celui qui met ça veut faire autre chose. Si mon filtre ne vire pas ce code javascript, je laisse à n'importe qui executer n'importe quoi chez n'importe qui !
En d'autre terme il me faudrait un code qui supprime " et ' entre [IMG] et [/IMG] (au pire qui vire tout le code entre [IMG] et [/IMG]), c'est une solution non ?

si tu as une liste exhaustives des caractère ne pouvant figurer dans ton url:

ici ' " et espace

Code:

---

\[IMG\]([^ "']*)

---

Je mets ça :

Code:

---

u = u.replace(/\[IMG\]([^"])*(.*?)\[\/IMG\]/gi, "<img src=\"$1\">");

---

?

Code:

---

1 2 3 4 5 6

<script type="text/javascript"> var chaine="[IMG]http://monimage\" onclick=\"alert(\'ok\')[/IMG]" var reg=/\[IMG\]([^"' ]*).*\[\/IMG\]/ alert(chaine.replace(reg,'<img src="$1" />')) </script>

---

Merci