Как защитить сабмит форму от бяк в PHP?

есть дярявый скрипт с формои для сабмита ссылок. ссылки вставляются в базу. один турецкии дятел начал вставлять джаву скрипт в котором редирект. как сделать так чтоб это говно не проходило защиту?

Обрезать регекспом все символы, которых не может быть в поле.

Wahoven писал:

Обрезать регекспом все символы, которых не может быть в поле.

что это такое?

strip_tags

Wahoven писал:

Обрезать регекспом все символы, которых не может быть в поле.

Это в URL'е-то?

Тут не фильтровать надо, а валидацию на вводе производить, не давать вводить то, что не является URL'ом. Я так понимаю, данные серферам выдаются, то есть введя какое-то говно, сторонний человек может сделать говно из страницы.

Вот простой код:

Код:

$subject = ... то, что ввели if (preg_match('%^((?P<scheme>https?|ftp):/)?/?((?P<username>.*?)(:(?P<password>.*?)|)@)?(?P<hostname>[^:/\s]+)(?P<port>:([^/]*))?(?P<path>(/\w+)*/)(?P<filename>[-\w.]+[^#?\s]*)?(?P<query>\?([^#]*))?(?P<fragment>#(.*))?$%', $subject)) {    # Хороший URL, пропускаем } else {    # Никак не URL }

Если что плохое ввели - вернуть на форму и заставить ввести снова.

Pentarh: дохлая защита.
однозначно preg_match с грамотным паттерном и все писю посасывают.

Ребята, ваши писюны я трезво оценил. Охуительно.

Я просто немного знаком с суоми, ему регекспы как мне дао де дзын читать в оригинале.

Ну раз ты близко знаком и такой, по всей видимости, крутой - то и сделай ему по-нормальному. По знакомству. С каких это пор на мастере посоветовать надежный код - "писюны"?

Pentarh писал:

Ребята, ваши писюны я трезво оценил. Охуительно. Я просто немного знаком с суоми, ему регекспы как мне дао де дзын читать в оригинале.

;), всем пасиб.. завтра попробую. ничего срочного, так сайтик про путешествия, но какой то неугомоный мудак достал меня..
ели че я тебе стукну или здесь покажу..

сам хочу сделать, уже почти 5 лет забил на програмирование. а ведь я из старой бригады.. КОБОЛ, Асамблер, Сайбейс.. Скучаю немного.

гы
Пролог, фортран - были вещи, юзал

Dr.Syshalt писал:

Ну раз ты близко знаком и такой, по всей видимости, крутой - то и сделай ему по-нормальному. По знакомству. С каких это пор на мастере посоветовать надежный код - "писюны"?

он тебе и посоветовал нормально )

Dr.Syshalt писал:

Ну раз ты близко знаком и такой, по всей видимости, крутой - то и сделай ему по-нормальному. По знакомству. С каких это пор на мастере посоветовать надежный код - "писюны"?

Я с безопасностью знаком не по наслышке, с регекспами тож. Но не всегда стоит по мухам с пушки хуярить ;)

я думаю настряпать regex чтобы не пускал гавно, кроме урлов, проблема не такая сложная
на свкидку в два захода
первый, пускаем то что похоже на урл
вторая, смотрим чтобы в нем было того чему там быть не должно

freeek: велосипед уже изобрели, на него Pentarh: уже указал.

xreload писал:

freeek: велосипед уже изобрели, на него Pentarh: уже указал.

да согласен, просто мысль была о том, что если все это пишется в базу, то мало ли, кто что там может ввести кроме яваскрипт

Код:

$_POST["message"]=htmlspecialchars($_POST["message"]);

Pentarh писал:

Я с безопасностью знаком не по наслышке, с регекспами тож. Но не всегда стоит по мухам с пушки хуярить ;)

Ты, может, с чем-то не по-наслышке знаком, но не с написанием нормальных программ точно. Валидация делается не только для безопасности, хотя там тоже она куда лучше работу выполняет. А еще для того, чтобы сберечь пользователя от ввода неправильных данных. Когда он копипастил, к примеру, URL, и захватил с ним еще пару строк - и не заметил. Это просто называется "писать код по-нормальному, а не через одно место".

Я даю те советы, которые считаю правильными. А примет кто-то мои советы, или этот топик откопают археологи через 1000 лет - это не мое дело, и тем более, уж извини, не твое.