PHP: bbcode naar php

[almostdaily]

Ik heb wat problemen met een kleine BBCode functie in php die ik wil gebruiken.

Ik wil de mogelijkheid creëren om een slideshow naar keuze in een tekstveld te plaatsen, zoals hieronder aangegeven. Echter, tot nu wordt de php code niet uitgevoerd maar gewoon geprint. Misschien dat dit met veiligheid te maken?

code:

[slider]3[/slider]

moet worden:

code:

<?php require('inc/_slider.php?id=3) ?>

De functie die ik gebruik ziet er als volgt uit:

code:

function bbcode($var) {
    $find = array( 
        "'\[slider\](.*?)\[/slider\]'"
    ); 
    $replace = array( 
        "<?php require('inc/_slider.php?id=\\1) ?>"
    ); 
    $var = preg_replace($find, $replace, $var);
    return $var;
}

Het vervangen gaat dus prima, alleen wordt de php-code niet uitgevoerd maar geprint.

[Voutloos]

Het element in de $replace array is hier gewoon een string, en dat die string PHP code bevat maakt niets uit.

Als je trucs (bv. eval ) gaat uithalen om dit te laten werken, mag je de waarde van id wel iets beter controleren (alleen cijfers matchen, casten naar int, oid), omdat zaken als eval() en dynamische includes icm onvoldoende user input validatie een groot security probleem zijn. Zorg dus eerst voor een strictere input check, voordat je je de rest werkend maakt.

[almostdaily]

Bedankt. Ik denk dat ik iets anders moet verzinnen. Het levert vrij veel problemen op zo te zien. Heb nog wel dit voorbeeld gevonden, maar het lukt hiermee weer niet om $id door te pasen aan slider.php.

[Janoz]

1: Eval is evil
2: Als je aan het includen bent hoef je id helemaal niet mee te geven.
3: Je kunt de e modifier gebruiken in je reguliere expressies.
4: Het is makkelijker om niet een include te gebruiken, amar gewoon een functie te maken die een slider genereert.
5: eval is evil

[NMe]

Je kan nog steeds gewoon include gebruiken hoor. Je zal alleen éérst moeten matchen, dan een include/file_get_contents moeten doen (die je opslaat in een string) en vervolgens nog een regexp replace doen waarmee je de bbcode door die string vervangt.