Относно сигурност

[rombeca]

Ситуацията е следната:

Ползвам codeigniter за една система. Включил съм

$config['global_xss_filtering'] = TRUE;

обаче се налага да вкарвам html в базата данни. И при изкарване на резултатите естествено не бачка. Налага се да ги вадя с

htmlspecialchars_decode(резултат от базата)

Така работи, но въпроса ми е опасно ли е?
Формите (засега) са ми само в админ панела, който е защитен, тоест от там няма как да се вкара "зловреден" код. Има ли друг начин, през урл или нещо такова, та да се притеснявам ли и да взимам мерки, преди да е станало късно?

 

[Hous]

Не съм запознат със CodeIgniter но пък има една тема която на мен лично много ми харесва може да и хвърлиш едно око за 2 мин: ЦЪК

 

[rombeca]

Не съм запознат със CodeIgniter но пък има една тема която на мен лично много ми харесва може да и хвърлиш едно око за 2 мин: ЦЪК

Тия теми съм ги преглеждал, благодаря ти ама в codeigniter е специфично и си има вградени защити, които за да разбера как функционират трябва да преровя една камара код.

Въпроса ми беше към някой, който е тествал нещата примерно. И точно това htmlspecialchars_decode дали не насира нещата .

 

[tedo96]

Не виждам защо може да има проблем, като при вкарването се филтират. Важно е какво влиза в дб-то, а не какво излиза.

 

[rombeca]

Не виждам защо може да има проблем, като при вкарването се филтират. Важно е какво влиза в дб-то, а не какво излиза.

И аз това си мисля, ама все пак питам, за да не изпищя по някое време .
Иначе PHP код не вади, пробвах.

Едит: Сега като се замисля и wordpress работи по подобен начин, а щом се ползва толкова явно си е защитена.

 

[tedo96]

Не виждам защо може да има проблем, като при вкарването се филтират. Важно е какво влиза в дб-то, а не какво излиза.

И аз това си мисля, ама все пак питам, за да не изпищя по някое време .
Иначе PHP код не вади, пробвах.

Едит: Сега като се замисля и wordpress работи по подобен начин, а щом се ползва толкова явно си е защитена.

Значи нямаш никакъв проблем. Можеш само да провериш дали CI си няма някаква функция, която да замества htmlspecialchars_decode()

 

[Hous]

Прегледай т'ва набързо:CodeIgniter Security
мисля,че ще ти се изясни

 

[tedo96]

Прегледай т'ва набързо:CodeIgniter Security
мисля,че ще ти се изясни

Това няма нищо общо с проблема му.

 

[rombeca]

Благодаря ще видя, въпреки че така "натив" ме устройва. Може да има някаква врътка защото така не мога да ползвам изцяло url класа. Няма как да вкарам site_url() в БД, ама не е болка за умирачка .

 

[Hous]

Това няма нищо общо с проблема му.

Във въпростната страничка дават малко информация кое и защо е премахнато в CodeIgniter

GET data is simply disallowed by CodeIgniter since the ...

, но ако не помага извинявам се че спамя :lol:

 

[rombeca]

Прегледай т'ва набързо:CodeIgniter Security
мисля,че ще ти се изясни

Хаха прегледал съм го. Цялата работа е, че (частично) го избягвам.
Тедо ме разбра .

Благодаря и на двама ви.

 

[webdeveloper]

Не съм сигурен в твоя случай дали ще помогне, но все пак ще го спомена:

htmlentities при запис в базата
html_entity_decode при изход от нея