nicht angemeldet
Hi,
Wie kann ich es verhindern, dass der mittelgroße Graumelierte sich als blonder Langer mit roten Schuhen ausgibt, behauptet er sei ein Meister des HTML, mir Javascript in meinem mühsam zusammenschusterten Gästebuch unterschiebt und damit ein Fensterchen mit dem unverschämten Ausruf "bätsch" öffnet, obwohl er mir im Link "Friede, Freude, Eierkuchen" verspricht?
Ratschlag für die Zukunft:
Lies die Packungsbeilage, und nimm keine Dosis über der empfohlenen.
PS: Es ist ein PHP Script, und mittels strip_tags wird unerwünschter Code aus den Formulareinträgen entfernt.
Aber das stört den Graumelierten nicht, er macht da trotzdem Javascript rein.
Also wird unerwünschter Code offenbar nicht entfernt.
Vergiss strip_tags, es ist eine grobe Wildsau.
Wenn der Nutzer HTML-Code eingeben will, dann lass' ihn. Aber sorge dafür, dass dieser nicht als HTML *interpretiert*, sondern nur als Text dargestellt wird.
Nutze htmlspecialchars, und lasse auch die Anführungszeichen und/oder Hochkommata behandeln - sonst lässt sich JavaScript-Code bspw. an Stellen einschleusen, an denen aus den Nutzereingaben Attributwerte erzeugt werden.
MfG ChrisB
Light travels faster than sound - that's why most people appear bright until you hear them speak.
Der Martin