A B C D
جمعه 11 شهریور 1390, 16:40 عصر
نظرتون در مورد این کلاس (http://htmlpurifier.org/comparison)چیه؟
http://htmlpurifier.org/comparison
ظاهرا htmLawed قدیمی هست ولی htmlpurifier جدید تر و امن تر.
بله بنظرم همینطوره.
اون صفحه رو کامل خوندم و یه چند صفحهء دیگه دربارهء htmlpurifier.
البته htmlpurifier رو قبلا مطرح کرده بودن، ولی اون موقع چون یه مثال سرراست و معتبر از روش استفادش پیدا نکردم اون رو توصیه نکردم چون نمیدونستم چه تنظیماتی میخواد یا نمیخواد و تا چه حد برای کارهای امنیتی درنظر گرفته شده و امنیت داره. فکر میکردم احتمالا نیاز به تنظیمات دستی زیادی داشته باشه تا امن بشه.
اما الان دیدم انتهای صفحهء دانلودش (http://htmlpurifier.org/download#Installation) مثال هم زده که تست کردم و ظاهرا کار مورد نظر ما رو به همین سادگی انجام میده.
پس بیایید از این ببعد همه با هم از htmlpurifier استفاده کنیم :لبخند:
راستی مثال استفاده:
<?php
header("Content-type: text/plain; charset=utf-8");
$contents="<script>alert(1);</script><img src='t.jpg' onload='alert(2);'><form></form>";
require_once 'htmlpurifier-4.3.0/library/HTMLPurifier.auto.php';
$config = HTMLPurifier_Config::createDefault();
$config->set('Core.Encoding', 'UTF-8');
$config->set('HTML.Doctype', 'HTML 4.01 Transitional');
$purifier = new HTMLPurifier($config);
echo $purifier->purify($contents);
?>
این مثال با فرض این هست که انکدینگ صفحهء شما UTF-8 است و doctype صفحه هم از نوع HTML 4.01 Transitional. اگر انکدینگ یا doctype دیگری دارید، باید تنظیمات مربوطه رو انجام بدید.
البته فکر نمیکنم استفاده از htmLawed هم واقعا اونقدرها بد یا خطرناک باشه، ولی وقتی بهتر از اون هست چرا استفاده نکنیم؟
اینو گفتم که اونایی که از htmLawed استفاده کردن حالا شوکه نشن فکر نکنن به این خاطر هک شدن یا میشن.
یک مزیت htmLawed رو میتونیم کم حجم تر و سبک تر بودنش بدونیم. اما بهرحال در مسائل امنیتی حجم و سنگین بودن هزینهء زیادی برای پرداختن نیست.
تاجاییکه در اون صفحه خوندم دو ایراد امنیتی اصلی به htmLawed گرفته:
- یکی اینکه گفته چنین برنامه هایی باید با تنظیمات پیشفرض امن باشن (درحالیکه در htmLawed نیاز هست گزینهء safe رو تنظیم کنید تا امن بشه)، چون خیلی کاربران مستندات رو نمیخونن و ممکنه در این زمینه اشتباه کنن.
- دیگه اینکه میگه htmLawed حتی درحالت امن اجازهء وجود فرم ها رو در خروجی میده که نباید اینطور باشه.
بنظر بنده در هر دو مورد حق با طرفه!
البته در مورد تگ form هم میتونیم با دادن یک لیست سیاه به htmLawed مشکل رو برطرف کنیم، ولی بنظر بنده هم نباید این تگ رو درحالت امن اجازه میداد. بالاخره کاربر که حرفه ای نیست و داره به این تنظیم اعتماد میکنه و فکر میکنه به هیچ شکل نمیشه هیچ سوء استفاده ای ازش کرد.
درمورد امنیت درمقابل XSS هم طرف گفته «احتمالا». پس نمیشه گفت htmLawed درمقابل XSS ناامنه.
بقیهء ایرادهایی هم که گرفته بنظرم از نوع امنیتی نیست و به استاندارد بودن خروجی مربوط میشن.
در نهایتش منکه برای سویچ به htmlpurifier کاملا قانع شدم.
این امکان وجود داره که از bbcode استفاده کنیم بطوریکه توی محیط ادیتور تصاویر و استایل سایر تگها به هم نریزن و نمایش داده بشن؟ نمیدونم.
این دیگه کار شماست که تحقیق کنید و بفهمید.