contrôle d'un éditeur WYSISYG

[yann214]

Je souhaite utiliser un éditeur WYSIWYG sur mon site.
En général ces éditeurs génèrent du html en "relookant" un textarea.
Mais si c'est du html qui est généré, il va falloir contrôler ce contenu avant de pouvoir l'afficher sans que cela n'ouvre des failles dans le système du site.

Quels seraient les tests à faire pour rendre le code html secure ?

Merci !!!!

 

[psychoreflex]

Quel éditeur WYSIWYG as tu prévu d'utiliser ?

 

[gomoz]

htmlentities

Après, c'est "secure" (enfin normalement).

 

[yann214]

Quel éditeur WYSIWYG as tu prévu d'utiliser ?

Je trouve tinyMCE plutôt intéressant...

 

[yann214]

htmlentities

Après, c'est "secure" (enfin normalement).

Euh... Ca n'empeche pas de mettre des balise script par exemple...

 

[psychoreflex]

Je trouve tinyMCE plutôt intéressant...

Je trouve ça hyper lourd.

Franchement, la seule fonction qui sert sur un forum est celle qui permet de citer un passage. Eventuellement la mise en gras aussi.

Le reste, la transformation d'url etc... c'est du coté du serveur.



Qui a un bout de code pour citer des passages en les placant automatiquement via javascript entre

 et [\code]?

 

[yann214]

ben c'est pas pour un forum, c'est pour des clients qui veulent ajouter du contenu à leur site...

 

[psychoreflex]

effectivement.

 

[gomoz]

Euh... Ca n'empeche pas de mettre des balise script par exemple...

Ben si justement puisque ca convertis < en &lt; et > en &gt; (et bien d'autres).

 

[yann214]

oui mais ce que je veux dire c'est que lorsque je vais afficher tel quel ce qui avait été saisi dans cet éditeur, ben si un petit malin a placé un petit javascript dans le code, je vais balancer ce javascript à tous ceux qui vont visualiser la page...
Je sais pas si j'arrive à bien expliquer le truc... =)

 

[gomoz]

essayes-donc après avoir passé tes balises javascript dans htmlentities, tu sera fixé (puisque je te dis que cette fonction est là pour ça...)

 

[e-kiwi]

tout est dit, htmlentities() fais le test, met un js, puis affiche le resultat après avoir passé ta fonction