Доброго дня!

Вопрос состоит в следующем:

в форме помимо

<input />

очистку строки которой я делаю, присутствует еще и

<textarea></textarea>

По необходимости требуется разделение строки при передачи данных в БД: nl2br();
Чтобы в дальнейшем для отправки в заявке по <textarea></textarea> был читабельный вывод получателю.

Но встает сразу проблема, если какой-нибудь урюк захочет по-хулиганить.
Не помню уже где читал, что можно выслать в такой форме <img src="путь/bugogashechka.PHP" />, ну а что там в этом файле .php может быть уже не представить.

Есть ли возможность ограничить использование в форме html тегов, кроме <br />??


Я как-то встречал при изучении регулярные выражения(шаблон):

preg_match("/^(?:[a-z0-9]+(?:[-_.]?[a-z0-9]+)?@[a-z0-9_.-]+(?:\.?[a-z0-9]+)?\.[a-z]{2,5})$/i")

Но для меня это осталось дремучим лесом

_____________
Если долго в одних стенах живешь, ты с ними сростаешься

http://php.net/strip_tags ?

Так в чем проблема пусть что угодно вставляет, на выходе экранируешь + nl2br и все, пофиг что там будет

$symptoms = strip_tags(nl2br($_POST["description"]), "<br/><br>");

а если вызов nl2br сделать после strip_tags то и <br/> не нужно удалять)

Он не то имел ввиду. :) Вот так надо:

$symptoms = nl2br(strip_tags($_POST["description"]));

Иначе остается уязвимость.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

$symptoms = nl2br(strip_tags($_POST["description"]));

На а его же пропускает?))) А это обычный тег. И у него есть атрибуты. На вскидку вот так можно поломать блочный дизайн:

<br style="clear:both" />

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

$symptoms = nl2br(strip_tags($_POST["description"]));

Это еще не всё. strip_tags() Убирает теги наглухо. Не оставляя пробелов. И не только теги, а всё между бричками. И в итоге целостность текста может нарушится. Эту функцию вообще нельзя применять для фильтрации. Я бы посоветовал сходить сюда. Самое время.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.