Discussion :

[stars333]

Bonjour,

J'ai fait un forum et les membre du site peuvent rentrer le message de leur post via un éditeur xhtml wysiwyg. Celui-ci est ensuite stockè dans une table de la base de donnée.

Mon problème est que je me demande comment sécurisé le message lors de l'affichage sur la page du forum pour qu'il n'affiche pas du code non désiré.
Seulement je souhaite conserver la mise en page html qui est possible gràce à l'éditeur wysiwyg.

Que me conseillez-vous ?

Merci de vos conseils,

[FCYPBA]

Bonsoir,

Comme tu as fait le forum toi même et que tu souhaite garder la mise en page ( qui doit être du html ), il va te falloir nettoyer le code à la mano.

Dans un premier temps, il te faudra supprimer tout ce qui est javascript.
- balises <script>...</script>
- évènement ( onmouseout, ...)

Après je te conseillerai de supprimer tout ce qui peut-être css, appels aux fichiers externes, etc...

Cela devrait te prémunir contre les erreurs utilisateurs, et les attaques basiques.

Pour l'instant, il n'y a que cela qui me vienne à l'esprit.

[stars333]

Donc tu me conseilles d'utiliser les regex.
Le mieux serait donc que je les utilise avant d'entrer les info dans la base de donnée.

[CR_Gio]

Bonjour,

Que me conseillez-vous ?

Dans un premier temps je te conseilerai d'allé jeter un bon coup d'oeil ici et là
http://fr.wikipedia.org/wiki/Cross_site_scripting
http://fr.wikipedia.org/wiki/Cross-S...uest_Forgeries
...

Donc tu me conseilles d'utiliser les regex.

Tu peux aussi utiliser SimpleXML ou readXML ... puisque le text est en HTML