XML теги
Пишем комментарий:
А при публикации это:
Как будто предотвращается введение xml тегов.
ПК, Win10 14905, Firefox 51.0a1 (2016-09-02)
раскрыть ветку (14)
Напишу не в тему но всё же. Вот скажите, что нужно сделать, чтобы мне ответили с support@pikabu.ru и помогли решить мои технические проблемы по работе с сайтом.
раскрыть ветку (11)
Ждать ответ, т.к. писем много и они все обрабатываются в порядке очередности.
раскрыть ветку (10)
Странная у вас защита... На сервер введённые пользователем угловые скобки и так передаются как HTML-entities в составе запроса в XML-формате.
раскрыть ветку (9)
раскрыть ветку (8)
Ну, из этого способа вполне себе рисуется прозрачный метод валидации - парсить XML, в нем HTML entities пойдут как чистый текст, после чего строить HTML, встраивая в него только теги b, i, strike и blockquote, выкидывая остальные (ибо остальные в виде чистых тегов, в которых скобки не экранированы как HTML entities, могут попасться только в специально сформированном злонамеренном запросе).
А то, что сейчас происходит, похоже на баг именно на этапе валидации, потенциально опасный. И не особо понятно, откуда взявшимся (:
А то, что сейчас происходит, похоже на баг именно на этапе валидации, потенциально опасный. И не особо понятно, откуда взявшимся (:
раскрыть ветку (7)
Немного всё равно не понимаю в чем тут баг)
На строне клиента есть wysiwyg, который генерирует произвольный HTML и с чем угодно внутри. Например, пользователь можно вписать туда любой XSS или вставить из буфера xml-шум из Microsoft Office, где будет куча лишнего. Весь этот бред отправляется на сервер, где и происходит полная санитизация полученнного HTML. В результате HTML заново пересобирается и в нем остается только то, что мы разрешаем.
Я тут совсем никакого бага не вижу :) Уточните, пожалуйста, в чем конкретно баг?
раскрыть ветку (6)
Баг в том, что экранированные символы lt и gt, передающиеся на сервер в формате HTML-entity, почему-то тоже вырезаются)
раскрыть ветку (5)
раскрыть ветку (4)
раскрыть ветку (3)
Я наверное уже поправил это месяц назад) Помню, что правил фильтрацию HTML, но не помню что именно.
раскрыть ветку (2)
раскрыть ветку (1)
действительно баг фильтрации всё ещё есть. Точно. Вот сейчас вспомнил. Я правил не так давно другой баг, связанный с избыточными тегами html.
Тогда не буду откладывать и поправлю скоро :) Спасибо
Багрепорты
8.9K постов1.2K подписчика
Правила сообщества
Опишите подробно:
- Возникшую проблему
- Порядок действий для повторения проблемы
- Версию Пикабу: ПК, мобильная браузерная, приложение Android, приложение iOS- Ваше устройство, ОС, браузер
Приложите скриншоты или видео с проблемой
И мы постараемся помочь :)