[Frage - Textbox) Sicherheitskonzept ausreichend?

[Felix Riesterer]

Lieber Sascha,

wenn Du auf der Serverseite mit PHP sicherstellst, dass schadhafter Code in maskierter Form abgelegt wird, dann ist das sicher. Dass Du mit JavaScript einen Vorschauservice anbietest, der im Grunde diesen Effekt vorher veranschaulicht, ist dem Benutzer gegenüber sehr nett, aber keineswegs für die (serverseitige!) Sicherheit relevant. Daher wären auch Manipulationen an diesem JavaScript-Mechanismus sicherheitstechnisch irrelevant.

text = document.getElementById("textbox").value;
text = text.replace(/</g,"&lt;");
text = text.replace(/>/g,"&gt;");
document.getElementById("preview_text").innerHTML = text;
document.getElementById("preview_text").style.display ='block';

Warum escapest Du die Anführungszeichen in JavaScript? Das wird wahrscheinlihc zu Fehlern führen! Oder war das nur ein unvorsichtiges Copy&Paste aus PHP-Code heraus?

Liebe Grüße aus Ellwangen,

Felix Riesterer.