TinyMCE и SQL Injection

[Sarabanda]

Всем привет! У меня вопрос такого характера.

Есть TinyMCE редактор, который создает текст включая ХТМЛ теги.

Ну и потом мы этот текст напичканый тегами передаем в форму.

На сколько мне изестно про SQL Injection, а известно очень мало, -- нежелательно передавать

теги в базу с открытой страницы.

Скажите, действительно ли это уезвимое место ?

Спасибо!

[gradus]

Скажите, действительно ли это уезвимое место ?

Причём самое самое!

[Int]

А проблема в чём? Весь текст через scape_string прогонять и можно хранить любые тэги. Можно ещё htmlspecialchars делать, а при выводе - обратно

[rus]

А проблема в чём? Весь текст через scape_string прогонять и можно хранить любые тэги. Можно ещё htmlspecialchars делать, а при выводе - обратно

Я так понял что тут это делу не поможет.

Сам когда прикручивал этот редактор в админку, у всех полей формы стояли всякие защиты от всяких там слешей, тегов и т.д..., а когда тини привязал к форме, то естественно ни о каких тегах и речи быть не могло, так как защита резала их, пришлось убрать.

Но тут следует понимать одну простую вещь, ведь форма находится в админке, и конечно же туда уже доступ закрыт, так что бояться нечего.

[Veseloff]

SQL-инъекции тут не при чём, если вопрос именно в тегах. Тут, скорее, больше проблема XSS. Для этого стоит убирать «ненужные» теги типа <script> из поля и всё. Это раз. Второе это то, что реально тайни и процие факедиторы скорее годятся только для применения в админке сайта. Если надо сделать пользовательский редактор (то есть доступный для анонимусов), то, я думаю, стоит его делать на бб-кодах (можно его и визуальным сделать, стоит только немного потрудиться), которые потом будут преращаться в HTML теги, а «настоящие» теги попросту надо отсекать. Соль в том, что надо ограничивать не «сверху», а «снизу», то есть не запрещать какие-то конкретные вещи из всего возможного, а запретить всё, разрешив только то, что реально нужно.

[Int]

Значит такое там прикручивание неудобное. Можно было реализовать чтобы всё было нормально.