Проверка формы CakePHP по коду JavaScript

Question

Проверка формы CakePHP по коду JavaScript

0

Я разрабатываю приложение cakephp (2.5.6), где пользователь может 2.5.6 комментарии, сообщения в блогах и многое другое. Пользователи могут использовать html-разметку (h1, h2.., quote,..).

Как я могу добавить безопасность для входов формы, чтобы пользователь не мог добавить код javascript, например, <script>alert('foo');</script> или что-то еще.

Я проверил его с помощью простого $this->Form->input('description'); , Теперь, если я отображаю описание с помощью echo $data['Post']['description'] предупреждение отображается на странице обновления.

Каков общий способ предотвратить это? Предоставляет ли cakephp какие-либо помощники или функции?

q0re 28 янв. 2015, в 09:37

Источник

0

book.cakephp.org/2.0/en/models/data-validation.html - вы ознакомились с документацией?
naththedeveloper 28 янв. 2015, в 08:52
0

Да, конечно..
q0re 28 янв. 2015, в 09:01
0

Может быть, использовать strip_tags() или написать собственный валидатор, который будет проверять наличие запрещенных тегов?
marian0 28 янв. 2015, в 09:10

Показать ещё 1 комментарий

Теги:

php

javascript

validation

cakephp

1 ответ

Ещё вопросы

book.cakephp.org/2.0/en/models/data-validation.html - вы ознакомились с документацией?
Может быть, использовать strip_tags() или написать собственный валидатор, который будет проверять наличие запрещенных тегов?

burzum · Accepted Answer · 2015-01-28T09-42-00.000Z

Ну, вы должны нажать весь вывод на веб-странице через h() который является ярлыком Cake для htmlspecialchars. Даже вывод, который вы извлекли из API или аппаратного датчика. Кто вам говорит, что они не могут дать вам вредоносные данные? Большинство основополагающих правил безопасности: не доверяйте никаким вводам данных в вашей системе.

Если вам нужен более подробный очиститель HTML очистителя, который является плагином lib и CakePHP для него, который позволяет вам придумать определенную фильтрацию. Например отключите <script> но разрешите <b> и <a>. Он может фильтровать разрешенные HTML-атрибуты. Прочтите документацию.

Я вижу, что эта функция также работает с массивами. Должен ли я использовать h() в поле зрения или контроллер? Например: echo $this->set('post', h($post)); или echo h($post['Post']['description']) ..