[php] Forum; hack proof maken

[Verwijderd]

ik ben bezig wat forum functies te schrijven (UBB codes etc) en nou wil ik wel dat niemand vervelende dingen kan uithalen zoals java script jes toevoegen.

nou had ik hier al wat gemaakt hier en dan clean functie. Deze filtert al het html en java script wat er gepost wordt uit.
Andere functies werken ook maar is niet zo relevant.

Dus wie kan mijn nog op fouten wijzen, of andere tips. Heb je een fout, vertel dan wat je gedaan heb en ik probeer het te verhelpen. En als afsluiter, is dit veilig?

PHP:

if($email == "[e-mail]")
  echo("je mag hier neit naar toe mailen");
else 
 mail($email,"aanvraag", "geplaatst");

[4Real]

* 4Real leest niet goed

[ Voor 87% gewijzigd door 4Real op 21-02-2003 19:28 ]

[Gerco]

Ik weet niet wat je precies wilt met je code, maar dit lijkt me beter:

PHP:

if($email != "[e-mail]") 
  echo("Je mag alleen naar [e-mail] mailen"); 
else  
 mail($email,"aanvraag", "geplaatst");

In het kader van spampreventie dus

[ Voor 18% gewijzigd door Gerco op 21-02-2003 19:30 ]

[arnominator]

Hmms. ben totaal geen php expert, maar je moet je variable 'email' tenminste door een slimme regex halen, om te checken of het wel een email adres is..

Zie eens hier : http://www.phreedom.org/article.php?id=45

[Postman]

arnominator schreef op 21 February 2003 @ 19:33:
Hmms. ben totaal geen php expert, maar je moet je variable 'email' tenminste door een slimme regex halen, om te checken of het wel een email adres is..

Zie eens hier : http://www.phreedom.org/article.php?id=45

En dan Je kunt nog steeds emailen naar [e-mail] (dus een domein dat niet bestaat). Als je al controleert op domein extensie, meestal moet je een @ hebben met daarna een . , dus [e-mail] gaat vaak ook.
Die check van Gerco is een stuk beter.

[Sjeik]

Waarom laat je niet gewoon alle < en > vervangen door

code:

< >

?

Volgens mij kan er dan niets gebeuren.

[Tux]

Sjeik schreef op 21 februari 2003 @ 20:12:
Waarom laat je niet gewoon alle < en > vervangen door

code:

< >

?

Volgens mij kan er dan niets gebeuren.

htmlspecialchars() voor de duidelijkheid

[ Voor 7% gewijzigd door Tux op 21-02-2003 20:15 ]

[Spider.007]

als je HTML en JavaScript wil restricten dan is daar ook een standaard functie voor namelijk htmlentities

[Postman]

Verwijderd schreef op 21 februari 2003 @ 19:03:
ik ben bezig wat forum functies te schrijven (UBB codes etc) en nou wil ik wel dat niemand vervelende dingen kan uithalen zoals java script jes toevoegen.

PHP manual htmlentities

[Verwijderd]

of je gebruikt strip_tags functie

$string = strip_tags($string , '<de tags die je wel wilt allowe' >";


http://www.php.net/manual/en/function.strip-tags.php

Grtz
Phreaq

[Verwijderd]

Waarom vergelijk je de email adres niet met de addressen in je forum db