FCKeditor fallback: lek in applicatie

[Verwijderd]

Hallo,

Ik heb een fckeditor en die valt oa in IE 5.01 terug op een textarea. Omdat de gegevens die terugkomen van FCK html zijn, worden ze direct in de db geschreven en weergegeven. Nu is mijn probleem dus dat gebruikers van IE 5.01 gewoon html in kunnen voeren en dat is dus en mooie lek.

Ik kan natuurlijk met javascript een hidden value zetten en die checken, maar een kwaadwillige kan dat natuurlijk faken.

Hoe pakken jullie zoiets eigenlijk aan of vertrouw je het wel?

[Gerco]

Zonder die fallback is het nog net zo lek als met hoor. Dat je via die FCKEditor geen enge dingen kan doen zegt natuurlijk helemaal niets, iedereen kan zelfs zonder browser (met telnet.exe) willekeurige data naar je server submitten. Je zult je HTML moeten filteren op gevaarlijke dingen, of beter, alleen een beperkt aantal tags toestaan (met strip_tags bijvoorbeeld).

Die controle doe je natuurlijk serverside, zodat het niet uitmaakt of iemand de FCKEditor of iets anders gebruikt om de data te submitten.

[ Voor 19% gewijzigd door Gerco op 24-08-2006 17:02 ]

[gorgi_19]

In aanvulling op Gerco: vertrouw NOOIT userinput, of dit nu vanuit post, get, cookies of wat dan ook komt.

[NMe]

Naast wat de heren hierboven al zeggen verwijs ik je voor verdere problemen met FCKeditor naar hun eigen site/supportforum. Afgezien van de tips hierboven is hier verder niet echt over te discussiëren, en voor het oplossen van bugs moet je dus op hun eigen site zijn, en daarom heeft dit topic weinig zin meer. Op slot dus.