if (empty($_POST['login']))
{
        $is_error = 1;
        $er_login_e = 'Вы не ввели логин.';
}
else
  { 
	$user_login = trim($_POST['login']);
	$user_login = htmlspecialchars($user_login);

       if (strlen($user_login)<=5)
       { 
        	$is_error = 1;
        	$er_login_l = 'Логин не может быть менее шести символов.';
        }
        if(!preg_match("/^[a-zA-Z0-9]+$/", $user_login))
       { 
	        $is_error = 1;
   	        $error_login = 'Логин может содержать только латинские буквы и числа.';
       }
}

<input style="width:500px; height:25px; border: solid 1px RGB(208,215,226);
font-family:Verdana,Arial; font-size:15px;
background:RGB(250,250,250);" type="text" maxlength="20"
name="login" value="<?php echo stripslashes($_POST['login']); ?>" \>

log" onload="alert('XSS!!!');"

<?php echo stripslashes($_POST['login']); ?>

log" onload="alert('XSS!!!');"

" onclick="alert(1)

" onclick="alert(document.cookie)

Спустя 6 минут, 34 секунды (26.08.2010 - 10:17) IamSmorodin написал(а):

Цитата

То что у вас стоит  maxlength="20" легко обойти!!! Даже простым нажатиям клавиш Ctrl+U в Опере(только за эту стандартную фичу уважаю Оперу...))) и тогда можно вставить, и такое, и даже круче)

Тогда я обрежу все, что стоит за 20-м символом.

Цитата

А зачем вам их убирать?!!

Просто, если ввести login' -> то в поле появится login\'

Спустя 24 минуты, 42 секунды (26.08.2010 - 10:42) Romms написал(а):

Вот эта строка

	$user_login = htmlspecialchars($user_login);

делает так:

Цитата

\n -   " - &quote; & - &

Понимаш?

Цитата

Тогда я обрежу все, что стоит за 20-м символом. laugh.gif

тогда я впихну тот самый код только в 20символов ,обрезка - это не метод!

Почитай http://php.net/manual/en/function.htmlspecialchars.php

Спустя 2 минуты, 30 секунд (26.08.2010 - 10:44) IamSmorodin написал(а):

Romms
Понял Спасибо за литературу, почитаю...

Я так понял мне хватит регулярного выражения, чтобы проверить правильность ввода, так?

И все-так отчего исчезает все после двойных кавычек?

Спустя 40 минут, 3 секунды (26.08.2010 - 11:42) IamSmorodin написал(а):

Цитата (Romms @ 26.08.2010 - 11:02)

Цитата Я так понял мне хватит регулярного выражения, чтобы проверить правильность ввода, так? Для проверки, да(ну кроме проверки длины) Но не забывай экранировать все спец символы MySQL функцией mysql_real_escape_string() и при выводе из базы "прогонять" через htmlspecialchars()

Понял наконец-то. То, что я в value хочу подставить превращается в теги

При записи базы экранирую. Пока еще ничего не вывожу То есть, если я буду проверять длину, как у себя в коде, то мне не страшны твои напасти с подстановкой кода?

Спустя 8 минут, 38 секунд (26.08.2010 - 13:02) IamSmorodin написал(а):

А как мне все это дело нормально передать в value, когда я подставляю эти значения в форму ввода... а то бьюсь, а ничего