PHP BBCode는 사용 preg_replace이다() 확인, 처음에이 제발 좀 봐, onclick을 입력하지 못하도록 방지, 때 onKeyPress

Question

나는 (내가 아닌) 간단한 질문이 있습니다 정규 표현식은 달러 (A $)의 MSG가 발견 된 것은 교체하고 새로운 형태로 넣어 것이다 (I, 어떻게 예에 대해 설명하는 방법을 모른다) :

이

그것은

에

[b]TEXT[/b] 

켜집니다,451,515,

<b>TEXT</b> 

또는 문제가에서 온천 어디서 어떤 일이되어

다음

<b style="color: red;" title="HELLO">TEXT</b> 

이 밝혀진다면 그것은으로

[b style="color: red;" title="HELLO"]TEXT[/b] 

을 설정합니다 :

[b onclick="SOME TROJAN SCRIPT"]TEXT[/b] 

로

<b onclick="SOME TROJAN SCRIPT">TEXT</b> 

그리고 내가 원하는 것은 [b attribute1 attribute2 ... attributeN] 뒤에있는 모든 속성을 바꾸는 대신에 해당 속성을 그대로 유지합니다. (onClick, onMouseOver ...).

의견을 보내 주셔서 감사합니다 ^^! 고급 사용자 들께 감사드립니다 ...

Answer 1

이것은 블랙리스트보다 화이트리스트에 훨씬 더 쉬울 것입니다. 특히 악의적 인 사용자가 자바 스크립트를 혼란스럽게 할 수있는 무수한 방법 때문입니다. 나는 받아 들일 수있는 출품작 목록을 만들고 대신 거기에서 일할 것입니다. 예, 기술적으로 CSS 항목이있을 수 있지만 실제로는 (1) 사용자가 자신의 HTML을 만들도록 허용하고 실제로 모든 종류의 XSS 두통을 초대 할 수 있습니다. (2) <b> 태그이므로 허용되는 CSS 명령의 작은 하위 집합으로 정상적으로 처리되어야합니다.

Answer 2

정규식은 거의 HTML/JavaScript 관련 보안 문제를 중지시키는 데 적합한 도구는 아닙니다.

Use a HTML parser.

Answer 3

PECL은 BBCode package을 제공합니다. 또한 PEAR package eqiv, PECL 패키지를 설치할 수없는 경우. 일단 BBCode를 사용하면 훨씬 쉽게 작업 할 수 있습니다.

Answer 4

귀하의 불장난 그러나 이것은 즉각적인 문제를 치료해야합니다

s/\[b(\s*|\s+(?:(?!(?<=\s)on..*?\s*=\s*['"]).)*?)\](.*?)\[\/b\]/<b$1>$2<\/b>/xi

또는 RX = /\[b(\s*|\s+(?:(?!(?<=\s)on..*?\s*=\s*['"]).)*?)\](.*?)\[\/b\]/
및 교체 = <b$1>$2<\/b>

와 다른 미묘한 수정.

편집 샘플 [b onclick="alert('HELLO');"]HELLO[/b]

use strict; 
use warnings; 

my @samps = (
'[b]TEXT[/b]', 
'[b on="]TEXT[/b]', 
'[b styleon="color: red;" title="HELLO"]TE 
     XT[/b]', 
'[b onclick="SOME TROJAN SCRIPT"]TEXT[/b]', 
'[b onclick="alert(\'HELLO\');"]HELLO[/b]', 
); 

for (@samps) { 
    print "Testing $_\n"; 
    if (s/\[b(\s*|\s+(?:(?!(?<=\s)on..*?\s*=\s*['"]).)*?)\](.*?)\[\/b\]/<b$1>$2<\/b>/si) { 
     print " .. passed $_\n"; 
    } 
    else { 
     print " .. failed\n"; 
    } 
} 

출력

Testing [b]TEXT[/b] 
.. passed <b>TEXT</b> 
Testing [b on="]TEXT[/b] 
.. passed <b on=">TEXT</b> 
Testing [b styleon="color: red;" title="HELLO"]TE 
     XT[/b] 
.. passed <b styleon="color: red;" title="HELLO">TE 
     XT</b> 
Testing [b onclick="SOME TROJAN SCRIPT"]TEXT[/b] 
.. failed 
Testing [b onclick="alert('HELLO');"]HELLO[/b] 
.. failed