Zend_Validator, pas de script dans textarea

Version imprimable

Bonjour,

j'utilise un validateur sur mon élément textarea de mon formulaire pour ne pas avoir de javascript. Or je voudrais dire j'accepte tout sauf les balises html mais je n'y arrive pas. J'ai essayé de regarder si on avait une variable pour inverser le fonctionnement du validateur (si le validateur détecte une balise script il lance l'erreur, actuellement c'est l'inverse) un peu comme ceci mais pas possible apparamment :
Code:

1 2 3 4 5 $corps = new Zend_Form_Element_Textarea('corps'); $corps ->setLabel('Corps du texte') ->setRequired(true) ->setErrorMessages(array('required'=>'Merci de remplir l\'objet de votre mail sans script.')) ->addValidator(new Zend_Validate_Regex('/^<(\S+).*>(.*)<\/\1>/',false) )
Merci

14/09/2010, 11h41
manuscle

Salut,

Dans ce cas pourquoi tu ne fabrique pas ton propre validateur en intégrant ce paramètre?

Sinon,
personnellement j'utilise htmlPurifier c'est plus pratique je trouve.
15/09/2010, 09h16
Général03
:ccool: en effet htmlPurifier à l'aire plutôt performante. Par contre je suis obliger de développer mon propre validateur en y intégrant cette librairie à l'intérieur car je souhaite que si le validateur retourne une erreur ca ne soumettre pas mon formulaire.
Je pense utiliser Zend_Validate_Callback mais où dois je enregistrer ma classe ?
Ensuite j'instancie ma classe dans l'action de mon controlleur comme ceci :
Code:

1 2 $corps = new Zend_Form_Element_Textarea('corps'); $corps ->addValidator(new Zend_Validate_Callback('noXSS') )
où noXSS() est une methode de ma classe validator

Merci

Bonjour, d'après la doc :

Votre classe validator:

Code:

1
2
3
4
5
6
7
8
 
 
class My_Validator()
{
    public function noXSS(){
        //faire traitement
     }
}

ensuite dans la form

Code:

1
2
3
4
 
$object = new My_Validator();
$corps = new Zend_Form_Element_Textarea('corps'); 
$corps ->addValidator(new Zend_Validate_Callback($object,'noXSS') )

Ton validateur tu peux le coller dans tes librairies persos:

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
 
// Dans /library/My/Validate/NoHtml
 
class My_Validate_NoHtml extends Zend_Validate_Abstract
{
    const NO_HTML = 'noHtml';
 
    /**
     * @var array
     */
    protected $_messageTemplates = array(
        self::NO_HTML => "Html Interdit! Tu te crois chez toi ou quoi?!",
    );
 
    public function isValid($value)
    {
        require_once 'tonFichierDeHtmlPurifier';
 
                $htmlPurifier = new .....ta classe htmlpurifier ......
        $this->_setValue($value);
 
        if ($htmlPurifier->fctionDeVerifDeHtmlPurifier($value)) {
            $this->_error(self::NO_HTML);
            return false;
        }
        return true;
    }
}

15/09/2010, 14h05
Général03
Merci manuscle mais quand tu fais un extends de Zend_Validate_Abstract il faut peut être lui spécifier où est cette classe :
Code:

1 2 3 4 require_once'Zend/Validate/Abstract.php'; class My_Validate_NoHtml extends Zend_Validate_Abstract { ... }
Merci pour votre aide

PS : :D j'adore ton $_messageTemplates
15/09/2010, 14h22
manuscle
Citation:

Envoyé par Général03

Merci manuscle mais quand tu fais un extends de Zend_Validate_Abstract il faut peut être lui spécifier où est cette classe

Ah bon ?! T'as une erreur?
Car chez moi je n'ai pas besoin de le spécifier etant donné que l'autoload s'en charge...

Par contre tu dois spécifier ta librairie perso dans application.ini:
Code:

1 2 3 ; Ajout d'un namespace pour les librairies perso autoloaderNamespaces[] = "My_"

J'ai développé une classe dans mon model :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
class validateurHtml extends Zend_Validate_Abstract
{
 
 
    public function filtreHtml($texte)
    {
            // Appel de la librairie HTML Purifier
        require_once 'library/htmlpurifier-4.1.1/library/HTMLPurifier.auto.php';
 
        $config = HTMLPurifier_Config::createDefault();
        $config->set('Core.Encoding', 'UTF-8'); 
 
        $htmlPurifier = new HTMLPurifier($config);
 
        $texteBrute = $htmlPurifier->purify($texte);
 
        return $texteBrute ;
    }
 
        public function isValid($value)
        {
 
     if( preg_match('/.*(<{1}[a-z ]*>{1}).*/i', $value) )
     {
         return false;
     }
     else
     {
         $this->filtreHtml($value) ;
 
         return true;
     }
 
        }
 
}

Pour faire ma vérif je fais ainsi dans mon controller

Code:

1
2
$corps = new Zend_Form_Element_Textarea('corps');
$corps ->addValidator( new Zend_Validate_Callback( array(new validateurHtml() ,'isValid')) )

Si le textarea contient une balise script alors le validateur retourne false et la formulaire retour le message d'erreur. Le cas échéant le contenu est filtrer pas HTMLPurifier.

Qu'en pensez vous ? Aurriez vous fait pareil ?

21/09/2010, 09h14
manuscle

Bonjour,

Ta regex elle teste l'existence de n'importe quelle balise html?! pas uniquement les balises script?
Si oui, ça veut dire que le validateur va toujours retourner false si il trouve la moindre balise html non? ça veut donc dire que le cas échéant, si il ne trouve aucune balise il va retourner un contenu filtré, mais il n'y aura rien à filtrer...
21/09/2010, 11h09
patbator

Hello,

Pour ma part, dans ce genre de cas j'aime bien coupler le fonctionnement des Filters et des Validators, je m'explique :
Quand on veut interdire un type de données des fois on voudra tout simplement le filtrer et accepter le reste.

Par exemple pour du html, des fois on veut être chiant et geuler dès que l'utilisateur met une balise et des fois on va juste vouloir enlever les balises et accepter le reste du texte.

Mais dans ce cas, le code de détection des balises peut être le même et comme j'aime bien le «DRY» :
- Je crée un filter qui enlève ce que je veux pas
- Je crée un validator qui va passer la valeur au filter, si le résultat est différent de la valeur d'origine alors il y avait quelque chose à filtrer donc d'interdit

Dans ton cas, au lieu de réinventer la roue je jetterai d'abord un oeil sur le Zend_Filter_StripTags qui te permettrait de valider selon mon principe : si valeur d'origine différente de valeur filtrée alors interdit.

Citation:

Envoyé par manuscle

Ta regex elle teste l'existence de n'importe quelle balise html?! pas uniquement les balises script?[...]si il ne trouve aucune balise il va retourner un contenu filtré, mais il n'y aura rien à filtrer...

En effet, remarque évidente :? !!!

Citation:

Envoyé par manuscle

- Je crée un filter qui enlève ce que je veux pas
- Je crée un validator qui va passer la valeur au filter, si le résultat est différent de la valeur d'origine alors il y avait quelque chose à filtrer donc d'interdit

Et OUI je vais faire cela je ne connaissez pas Zend_Filter_StripTags. Donc j'ai fais
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 public function filtreHtml($texte) { $filter = new Zend_Filter_StripTags( array('allowTags' => "b") ); $valueSansTagHtml = $filter->filter($texte); return $valueSansTagHtml ; } public function isValid($value) { $filter = new Zend_Filter_StripTags( array('allowTags' => "b") ); $valueSansTagHtml = $filter->filter($value); // Vérifie si Zend_Filter_StripTags a filtré de l'HTML if( $valueSansTagHtml != $value ) { return false; } else { return true; } }
Et le tour est joué merci beaucoup du coup de main