[quote=Bauhaus,15.12.2005, 17:03]Sorry - ich hatte das so gesehen dass die [ ... ] Klammerung ein Sicherheitssystem darstellen soll.[/quote]
soll sie ja auch.

ich gebe [ b] ein und es wird [ b] gespeichert. beim anzeigen im forum
wird <b> angezeigt.

ich gebe <evil> ein und es wird <evil> gespeichert. beim anzeigen im forum
wird &lt;evil&gt; im quellcode angezeigt.

wo genau siehst du jetzt ein problem?

[quote=pq,15.12.2005, 17:02][quote=Bauhaus,15.12.2005, 16:58]Und was mache ich, wenn jemand innerhalb eines 'textareas' schreibt:
mein script funktioniert nicht und mein system dreht durch[/quote]
stimmt, daran habe ich noch gar nicht gedacht.
das könnte echt den rechner zum explodieren bringen.[/quote]
Jetzt läuft es aus dem Ruder - schade ...
Wenn ich genau wüsste wie das Problem zu lösen ist, dann hätte ich den Thread nicht aufgemacht.
Ich hatte eigentlich erwartet eine sachlich Diskussion über ein Thema das mich bewegt, führen zu können.
Warum kommt jetzt Zynismus?

entschuldigung, aber was soll der string "mein script funktioniert nicht und mein
system dreht durch" für einen schaden anrichten? wenn ich das gefühl
habe, verkohlt zu werden, dann verkohl ich halt zurück.

edit: was vergessen\n\n

<!--EDIT|pq|1134664098-->

[quote=Bauhaus,15.12.2005, 16:58]mein script funktioniert nicht und mein system dreht durch[/quote]
was soll denn daran gefährlich sein?

[quote=pq,15.12.2005, 17:16]entschuldigung, aber was soll der string "mein script funktioniert nicht und mein
system dreht durch" für einen schaden anrichten? wenn ich das gefühl
habe, verkohlt zu werden, dann verkohl ich halt zurück.

edit: was vergessen[/quote]
esskar hatte geschrieben:

Quote

jetzt parst du den String (z.b. mit HTML::Parser) und schaust dir die tags an. falls du ein tag findest, dass nicht in der whitelist ist (wie z.b. script) dann, machst du es unschädlich.

Darauf bezog sich meine Atwort.

Wenn ich das so mache wie esskar schrieb, dann entsteht
aus:
"mein script funktioniert nicht und mein
system dreht durch"
beim Output der folgende Satz:
"mein funktioniert nicht und mein dreht durch"

Es liegt mir völlig fern hier jemanden "verkohlen" zu wollen.
Bin nur etwas "doof" und versuche hier mich "schlau" zu machen.

Ich habe den Thread nicht genau verfolgt, aber hier meine 10c:

gefaehrlich kann ein print in eine Datei nur dann werden, wenn man anhand der Daten in dieser Datei irgendwelche Aktionen veranlasst, oder wenn ein script/programm geschrieben wird, das ausgefuehrt werden kann.

Eine allgemeine Empfehlungen zur Sicherheit:
fast immer ist es besser, wenn man nur gewisse zeichen zulaesst und alle anderen rauswirft (ev. mit Fehlermeldung). Beim Weg, alles verbotene rauszuloeschen uebersieht man schnell was (gerade bei Unicode), und handelt sich so leichter Probleme ein.

x) Wenn Du nicht willst, dass irgendwelche HTML-Befehle (inkl. Javascript etc.) verwendet werden koennen, dann escape den String (z.B. mit CGI::escapeHTML); ob du das vor dem Schreiben in die Datei oder ob du das nach dem Lesen und vor der Ausgabe machst, ist fuer die Sicherheit meistens ziemlich egal. Meist ist es guenstiger, wenn man das schon vor dem Schreiben in die Datei/Datenbank macht, weil i.d.R. haeufiger gelesen als geschrieben wird.

x) Wenn du nur ein paar HTML-Tags zulassen willst (z.B. <b>, <u>, nicht aber <textarea>), dann solltest du dir grundsaetzlich ueberlegen, ob du erstens diese Tags direkt eingeben laesst oder ob du zweitens nicht auf BBCode ausweichst (indem du [ b ]..[/ b] oder [ u ]...[ /u ] tippen laesst).

1.) das ist ein wenig schwieriger, weil du dir vermutlich selbst einen parser schreiben musst, der <b> und </b> und < b > etc. in ruhe laesst, alle anderen Tags aber zu &lt;textarea&gt; etc. macht

2.) Dafuer gibt es auf CPAN schon fertige Module... BBCode

habe ich die Frage in etwa erfasst?\n\n

<!--EDIT|Strat|1134665225-->

tag != wort, d.h. ein tag ist z.b. <b> oder </b> oder <script ... >
verstehst ?

Ja strat; das war so ziemlich der Kern der Frage - Danke.
Wäre das auch eine Möglichkeit
oder müsste ich tatsächlich nach Hex umwandeln?

[quote=esskar,15.12.2005, 17:40]tag != wort, d.h. ein tag ist z.b. <b> oder </b> oder <script ... >
verstehst ?[/quote]
Ich verstehen ;)
Meinst du vielleicht sowas?

Hab's gerade getestet - funktioniert.

Edit:
funktioniert mit 'ner Schleife über 'ne Liste\n\n

<!--EDIT|Bauhaus|1134667613-->

exclude könnte schlecht sein, da muss mann ggf zuviel angeben...