wysiwyg editor a filtrovani obsahu

http://htmlpurifier.org/

Azathoth napsal(a):

wysiwyg tinymce o sobě tvrdí, že veškeré pokusy o xss ošetří na vstupu, takže potom by jediné xss mohlo přijít z databáze…

to ti vůbec nic neřeší, stačí si pozastavit submit request, změnit jeho obsah a odeslat to na server (stačí na to obyčejný plugin do browseru). Lepší/bezpečnější je server-side filtrace, jak již psal @DavidMatějka

A ked sa možem ešte opýtať, ako zvyknete aplikovat HTMLPurifier v nette? Robite to cez componentu s definovanými nastaveniami? Alebo si spravíte filter pre latte? Alebo jednoducho hodíte na web s requirom a kde potrebujete tam si vytvorite objekt + zadefinujete nastavenia?

Jinak bych doporucil vytvorit si hodne jednoduchy wrapper nad purifierem – service, ve kterem si purifier nakonfigurujes a vsude kde jej budes potrebovat – v presenteru nebo formulari, tak si akorat injectnes service.

Hodne rychly nastrel jak by mohla service vypadat (primitivni, bez configu atd…, jako zaklad to ale postaci a melo by to i fungovat):

class MyPurifier extends Nette\Object
{
	private $htmlPurifier;

	public function __construct()
	{
		$config = \HTMLPurifier_Config::createDefault();
		$this->htmlPurifier = new \HtmlPurifier($config);
	}


	public function purify($dirtyHtml)
	{
		return $this->htmlPurifier->purify($dirtyHtml);
	}
}