ユーザが作成したコードからphplタグを取り除く

オンラインでHTMLコードを編集、作成、保存、アクセス、デバッグできるWebページがあります。セキュリティパースペクティブの場合、私はすでにサンドボックス化されたiframeを使用してユーザのコンテンツを表示していますが、もう1つのことがあります。ユーザーが作成したコードにphpタグが含まれているとSQLクエリを作成し、すべてのデータベースを読み取り/削除するか、有害な何かを実行しますか？ユーザが作成したコードからphplタグを取り除く

可能ですか？はいの場合 - どのように私はこのタイプの攻撃に対して自分自身を守ることができますか？私はphpが特定のタグを持つすべてのタグを取り除くオプションを持っていることを知っているので、すべてのPHPタグを取り除くことができますが、ユーザーはPHPのtagなどのdocument.write（）そんな？

は、PHPタグ（<?php ?>）はHTMLタグ（<html><strong>など）ではありません。事前

出典

2016-12-07 Mapenter

それはルール＃1です：常にユーザー入力を検証します。あなたは疑わしいコードを防ぐために '<？'と '<？php'タグのために送られたコードを確認しなければなりません。 – Core972

私は同意しますが、もし彼らがdocument.write（ ""）のようなことをすればどうしますか？ – Mapenter

にありがとうだからそれは本当に可能ではないでしょう。

一方、javascript（xss）を挿入できます。出力をエスケープしたり、入力をフィルタリングしたりすることができます。入力をフィルタリングするための

は、以下を参照してください。 http://php.net/strip_tags

あなたは、このようなパラメータとして保存しておきたいタグを渡すことができます。

strip_tags($input, '<br>');

出典

2016-12-07 13:13:31

ユーザが作成したコードからphplタグを取り除く

答えて

関連する問題