Тут тоже самое, вместо того чтобы проверить длину и допустимые символы и остальное, нужно разрешить пользователю в поле "логин" вставить войну и мир? А потом в сообщениях, в комментариях, в указании автора статье, автора темы итд обрабатывать его логин, обрезая до нужной величины и вырезая от туда всякие кракозябры? Каждый раз?

Я понимаю что бывают разные случаи, иногда лучше делать первый вариант, а иногда второй.
А опрос такой, что либо одна крайность, либо другая, либо третья.

_____________
Промокод предоставляет скидку на заказ домена и/или хостинга reg.ru
BFCC-3895-8804-9ED2

$_POST['cool'] = "1 <script>alert('злыдень');</script>";

if(intval($_POST['cool'])) {
	echo 'крутяк у нас число, занесем в базу';
} else {
	echo 'не число!';
}

Это уже валидация данных. Чтобы они подходили под наши фетиши типо только английские буковки с циферками, ну еще можно часть китайских иероглифов и чтоб длина была не больше 13 потому, что сотона мой друг.

Вот поэтому я всегда мечтал зарегать ник себе вот такой: 開玩笑मज़ाשמחה
а такие злые люди как ты не дают кракозябры писать :D

А еще просто моразм, это когда пароль должен состоять только из A-Z0-9!@#$%^&*( и все, а чего UTF-8 забанили? может я хочу себе на арабском пароль сделать: ثم قررنا أن هذا ليس

Во вторых ранее было сказано про поиск, если загонять данные отфильтрованные сразу в базу, нужно костылить с <> и другими символами.
В третьих, на подходе html темплейты нативные, там сырые данные вообще фильтровать не нужно. прям из базы дергай со всеми <script>alert('злыдень');</script> жсон енкодом проходи и корми темлейту и он выведет их как текст <script>alert('злыдень');</script> если правильно юзать.
и не нужно всяких извращений с document.write, innerHTML, print

Я вообще крайне отрицательно отношусь к всякого рода "фильтрам". Нужно просто уметь работать с данными, а не искажать их и тем более не запрещать. Это дилетантство. С длиной логина еще соглашусь, не более. Все остальное от непрофессианализма.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Ну так и в базу будем писать

(int)$_POST['cool'];

раз уж пишем число :D

Тут вопрос про фильтр.
пользователь -> фильтр -> база -> клиент
или
пользователь -> база -> фильтр -> клиент

Если говорить про "нубство", то вероятнее забыть поставить фильтр при выводе содержимого (которое может выводиться в разных скриптах много раз), чем при сохранении содержимого один раз.
Взять те же комментарии, сегодня они выводяться в новостях, завтра взял и вывел последние 10 комментов на главной, после завтра сделал отдельную страницу с топом комментарий, потом сделал страницу со всеми комментариями пользователя и каждый раз нужно помнить что данные сырые. А если сегодня ты разработчик, а завтра дядя Вася? Понятно что выводом должен заниматься один метод, но а что если изначально метод не умеет сортировать по рейтингу и дядя Вася решил написать свой? Это всё разговоры про нубство.

Но зачем далеко ходить, вот форум, если бы он каждый раз обрабатывал bb коды, а если просмотров тем было бы в разы больше, зачем такая лишняя нагрузка? Тут встаёт вопрос кеширования, сколько файлов получилось бы с каждого сообщения? А если админ решит добавить рейтинг к сообщениям, что каждый + или -, будет пересоздавать кеш или дополнительно к кешу делать еще по запросу? Ради чего всё?

А потом придёт тётя паранойя и мы будет фильтровать еще и кеш, вдруг нубство и где то накосячили.


_____________
Промокод предоставляет скидку на заказ домена и/или хостинга reg.ru
BFCC-3895-8804-9ED2

Ты когда последний раз брался голыми руками за электрический провод? Чет тут никто не забывает. А ведь столько вероятностей...

Ну да, еще антимат поставим, про политику фильтр, про сиськи... и заживем долго и счастливо.

На это дело есть модераторы, запретами тут ничего не решишь. Как бы не хотелось, уповая на всемогущество компьютера.

Зачем обязательно файлы. Есть динамическое кэширование допустим. Да и еще куча способов снизить нагрузку, которая по большому счету не так уж и велика.

А теперь посмотри на это с другой стороны. Допустим тег [quоte][/quоte] занимает 15 байт, а "отфильтрованный" (аж передернуло) на нашем форуме сам посчитай:

<!--QuoteBegin--></div><table border=0 align=center width=95% cellpadding=3 cellspacing=1><tr><td><b>Цитата</b> </td></tr><tr><td id=QUOTE><!--QuoteEBegin--><!--QuoteEnd--></td></tr></table><div class=postcolor><!--QuoteEEnd-->

На сколько распухает база, если это один из самых популярных тегов? Плюс всякие &lt; &gt; и иже с ними. Плюс время на обратное преобразование, если учитывать кнопку к примеру или другое редактирование. Плюс поиск, коим пользуются не так уж редко. Плюс возможные глюки. Плюс, плюс, плюс. Тут еще сильно посчитать нужно выгоду.
Не всё то золото, что блестит.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Метод в модели или еще где не должен ничего фильтровать, фильтровать должен последний в цепочке это вьюха, рендер кому как удобнее. И все равно как Вася там решил сортировать и извращаться, Вася должен знать, что мух от котлет нужно отделять и должен отдавать вьюхе, рендеру, данные отдельно, а шаблон отдельно.

Не всегда так пишут, в этом и проблема.

пользователь -> база -> фильтр -> клиент

Потому, что если пьяный Вася будет использовать схему пользователь -> фильтр -> база -> клиент
вероятность того, что он промахнется в своих изысканиях - велик.

----
Фильтрация и валидация данных по сути разные вещи, фильтрация избавляет нас от потенциальных трипперов превращая все в сущности которые не будут интерпретированы как код и не будет нарушена структура. Валидация же, это набор наших хотелок, например для социальной сети. Возраст: от 12 до 200 лет, имя от 3 до 10 символов китайской иероглифики. Ну или там размер члена от 10см до 100см, а все у кого меньше 10 не могут регистрироваться и вот после всех этих валидаций, делается конкурс у кого самый длинный, но Вася при кодинге допустил ошибку валидации размеров члена и нашелся хацкер Петя, который посмотрел, что вася просто валидирует число ли пришло или нет и петя пишет 100500 и он первый в рейтинге
В данном случае возникает логическая ошибка, но никак не уязвимость с нарушением структуры данных.

Валидация конечно нужна, если пользовательский ввод может нарушить логику приложения, выше я описал, что ожидался диапазон от 10 до 100, а тут 100500 неожиданно.

В том то и дело что проще выключить рубильник и работать со всеми проводами как удобней, чем с каждым проводом под напряжением.

Валидации делаются в первую очередь для удобства пользователей. Что бы дизайн не вылезал, что бы ник можно было выговорить, что бы всё было чисто и культурно. Представляю в какую помойку бы превратились соц сети, если бы там фамилии можно было писать поэмами на c++.

Ну это на форуме. А везде давно <blockquote>, разница не особо что [ b ] что <b>

А как? В оперативке сообщения хранить?

Не думаю что время на обратно преобразование занимает больше чем на просто преобразование. Да и пофиг собственно, это обратное преобразование происходит один раз при редактировании, а не миллион раз, при прочтении сообщения.


I++

Ну тогда Вася знает что так делать нельзя

$_POST['cool'] = "1 <script>alert('злыдень');</script>";

if(intval($_POST['cool'])) {
	echo 'крутяк у нас число, занесем в базу';
} else {
	echo 'не число!';
}

И вообще Вася читает любую документацию и на него все молятся =)

Вася пишет, он же всё знает =)

Да блин, ты пишешь что Вася должен выводить данные через фильтр, типа так должно быть, типа нефиг быть нубом, а потом пишешь, что вдруг нуб.
Вероятность как раз больше что он забудет отфильтровать перед шаблоном.
Потому что часть пользователь -> фильтр ->база сделал ты, а остальные части база -> клиент в разных скриптах делает Вася или пьяный ты и еще кто.

_____________
Промокод предоставляет скидку на заказ домена и/или хостинга reg.ru
BFCC-3895-8804-9ED2