JeuWeb Créez votre jeu par navigateur !

Argorate · 03-05-2014, 04:39 AM

bonjour,

j'aimerais savoir comment feriez-vous pour appliquez le htmlspecialchars($texte) uniquement sur des caractères qui ne sont pas eux même des spécial char.

Exemple:

$texte = '€ & du texte';

j'aimerais avoir en sortie:

€ & du texte

au lieu de quoi j'obtiens pour l'instant:

&euro; & du texte.

Une idée pour régler ce conflit?

thx.

**Sephi-Chan** · 03-05-2014, 08:07 AM

Tu n'as qu'à décoder les entités du contenu à afficher (pour le normaliser en un truc propre) puis repasser un coup dessus.

Pour le XSS ce sont les balises HTML que tu dois éviter, les entités importent peu.

Ekilio · (Modification du message : 03-05-2014, 08:12 AM par Ekilio.)

Bonjour,

Code PHP :
<?php

$text = "&euro; & du texte <b>et du html</b>";

echo htmlspecialchars(html_entity_decode($text));

julp · 03-05-2014, 10:58 AM

Euh, ce n'est pas à ça que sert le 4e paramètre de htmlspecialchars ?

**Xenos** · (Modification du message : 03-05-2014, 12:41 PM par Xenos.)

Julp a parfaitement raison Smile

Snippet



<!DOCTYPE html>

<html>

	<head>

		<meta charset="utf-8"/>

	</head>

	<body>

	<?php

		function testHtmlSpecialChars($texte)

		{

			// $flags = ENT_QUOTES | ENT_HTML5 | ENT_QUOTES;

			$flags = ENT_QUOTES | ENT_HTML401;

			$encoding = "UTF-8";

			var_dump(

				array(

					 'Texte original                   '	=> $texte

					,'Texte htmlspecialchars()         '	=>	htmlspecialchars($texte, $flags, $encoding)

					,'Texte htmlspecialchars(...,false)'	=>	htmlspecialchars($texte, $flags, $encoding, false)

				)

			);

		}

		$textes = array(

			'texte simple'

			,'texte l\'entité HTML non encodée & €'

			,'texte avec l&quot;entité HTML encodée &euro; & l\'entité pas encodée €'

			,'texte à &lt;strong&gt;balise&lt;/strong&gt;'

		);

		array_walk($textes, 'testHtmlSpecialChars');

	?>

	</body>

</html>

Résultat:

Résultat a écrit :array (size=3)
'Texte original ' => string 'texte simple' (length=12)
'Texte htmlspecialchars() ' => string 'texte simple' (length=12)
'Texte htmlspecialchars(...,false)' => string 'texte simple' (length=12)

array (size=3)
'Texte original ' => string 'texte l'entité HTML non encodée & €' (length=39)
'Texte htmlspecialchars() ' => string 'texte l'entité HTML non encodée & €' (length=48)
'Texte htmlspecialchars(...,false)' => string 'texte l'entité HTML non encodée & €' (length=48)

array (size=3)
'Texte original ' => string 'texte avec l"entité HTML encodée € & l'entité pas encodée €' (length=75)
'Texte htmlspecialchars() ' => string 'texte avec l&quot;entité HTML encodée &euro; & l'entité pas encodée €' (length=92)
'Texte htmlspecialchars(...,false)' => string 'texte avec l"entité HTML encodée € & l'entité pas encodée €' (length=84)

array (size=3)
'Texte original ' => string 'texte à balise' (length=44)
'Texte htmlspecialchars() ' => string 'texte à &lt;strong&gt;balise&lt;/strong&gt;' (length=60)
'Texte htmlspecialchars(...,false)' => string 'texte à balise' (length=44)

@Sephi:
Si l'endroit où la donnée utilisateur est mise est un attribut, l'échappement des caractères spéciaux est important Wink

Exemple:



<div data-message="<?php echo echapperLesBalises($texte); ?>">...</div>

Peut finir en:



<div data-message="foo" onmousein="java$criptdocument.cookie);">...</div>

Avec l'entrée suivante pour $texte:
foo" onmousein="java$cript Sad

document.cookie);

L'OWASP fournit une cheat sheet sur XSS (en) pour savoir où mettre les données utilisateurs, où ne pas les mettre et comment les échapper.

Argorate · 03-05-2014, 11:49 PM

(03-05-2014, 08:11 AM)Ekilio a écrit : Bonjour,
Code PHP :
<?php



$text = "&euro; & du texte et du html";



echo htmlspecialchars(html_entity_decode($text));

**Xenos** · 04-05-2014, 01:06 AM

je pense que tu auras corrigé, mais au cas où quelqu'un passe sur le sujet sans l'envie de tout lire: ENT_HTML401 (il manque un 1).



htmlspecialchars($texte, ENT_QUOTES | ENT_HTML401, 'UTF-8', false);

Argorate · 04-05-2014, 02:42 AM

mauvais copier coller Smile

dsl

Sujets apparemment similaires…
Sujet		Auteur	Réponses	Affichages	Dernier message
	Design, accessibilité, tout ça, tout ça	Prélude	25	12 374	19-12-2014, 03:36 PM Dernier message: niahoo
	[Securité] Comment se proteger contre les robots?	Argorate	9	5 427	04-05-2014, 02:43 AM Dernier message: Argorate
	Parser des BBcode, cas un peu spécial	php_addict	25	10 931	04-02-2011, 11:53 AM Dernier message: php_addict
	Se protéger contre l'injection SQL	Kassak	29	9 445	06-12-2008, 10:54 PM Dernier message: Sephi-Chan
	Javascript : connaitre tout les éléments d'une page html	kEkRkIkC	3	2 177	14-04-2007, 10:57 PM Dernier message: Haiken