Конкретно в моем случае.
Заполяеться анкета которая не выводиться на страницу сразу выводиться только после того как я я в поле постовлю 1ку.
На случай если люди не заполнели все поля и чтобы инфа не слитела вывожу текст обратна из ПОСТ
<input type="text" name="input_name[0]" value="<?if(!empty($_POST['input_name'][0]))echo substr($_POST['input_name'][0],0,150);?>"
Я думал что если ввести текст "Текст какой н"ибуть c кавычкой" то мы получим
<input type="text" name="input_name[0]" value="Текст какой н"ибуть c кавычкой" - так если ошибк текст разорава н 2й кавычкой но ничего подобного текст нормально выводиться в поле без ошибок.
Слеширование в POST у меня отключино.
---
вот я и не пойму что можно придумать чтобы хакнуть через эти поля.
Пользовался htmlspecialchars но пользователи то пропускают поля то еще че в результате текст введенный ими эскажаеться так что его уже не востановить приходиться ручками перепечатывать. А шас еще таблицы пользователь может добавить, так с этим вообще беда.
Можно ли в моем случае не использовать htmlspecialchars и безопасно ли это?
Спустя 5 минут, 35 секунд (14.05.2011 - 19:04) inpost написал(а):
нужно использовать htmlspecialchars() для <input value="" !
Сюда можно вставить любой html либо JS код, если кавычки подставлять.
Так что можешь создать себе сайт и забыть поставить кавычки и посмотреть, как издеваются над твоим сайтом у нас в разделе ОЦЕНИТЕ.
Сюда можно вставить любой html либо JS код, если кавычки подставлять.
Так что можешь создать себе сайт и забыть поставить кавычки и посмотреть, как издеваются над твоим сайтом у нас в разделе ОЦЕНИТЕ.
Спустя 17 минут, 35 секунд (14.05.2011 - 19:22) Xes написал(а):
Вот что я получил от таблицы в результате 3 раза нажал отправить а поля были не заполнены меня трираз возращало на исходную страницу
| Цитата |
| ыыы &lt;table width=&quot;200&quot; border=&quot;1&quot; cellpadding=&quot;1&quot; cellspacing=&quot;1&quot;&gt; &lt;tbody&gt; &lt;tr&gt; &lt;td&gt;ыы&lt;/td&gt; &lt;td&gt;ыы&lt;/td&gt; &lt;/tr&gt; &lt;tr&gt; &lt;td&gt;ыы&lt;/td&gt; &lt;td&gt;ыы&lt;/td&gt; &lt;/tr&gt; &lt;tr&gt; &lt;td&gt;ыы&lt;/td&gt; &lt;td&gt;ыыы&lt;/td&gt; &lt;/tr&gt; &lt;/tbody&gt; &lt;/table&gt; &amp;nbsp; |
Если только замутить какую нибуть подпрограму в админке которя для тех полей которые так изуродованы по каждому щелчку будет делать одно преобразование функциией html_entity_decode() и тогда вроди можно вернуть исходничик.
Как у вас решается такой момент?