kverijs + aizsargāt pret <script>

[anonīms]

Komentiem ir caurums, ka komentārs textarea ierakstija <script>alert('aaa');</script> tā, izlec logs.

Kā varētu aizsargāt, lai nekas tāds netiek cauri līdz db?

Pašlaik aizsardzībai izmantoju

 

function quote_smart($value) {
if (get_magic_quotes_gpc())
{
$value = stripslashes($value);
}
if (!is_numeric($value))
{
$value = "'" . mysql_real_escape_string($value) . "'";
}
return $value;
}

 

Ko vēl varētu papildināt?

[Pentiums]

htmlspecialchars()

[indoom]

datubāzei jau tas script neko neizdarīs.

 

Bet tad, kad šo rādi lapā tos komentārus, tad ieliec tekstus htmlspecialchars()

Edited September 19, 2008 by indoom

[Maris-S]

Šajā gadījumā datubāzei neko neizdarīs, bet pie atbilstošiem nosacījumiem ar javascript injekcijām var šo to nelabu sadarīt. Iespējams Tevi ieinteresēs funkcija strip_tags