ReSQL.ru
     
powered by simpleCommunicator - 2.0.61     © 2026 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / HTML, JavaScript, VBScript, CSS [игнор отключен] [закрыт для гостей] / [JS] Обезопасить поле ввода INPUT, защита от инъекций
25 сообщений из 29, страница 1 из 2
  1  все
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615225
Goror
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Goror
Участник
Есть форма ввода данных для поиска по сайту, какой самый надёжный способ для того, чтоб нельзя было в неё вводить данные типа:

<script>alert("Я злой хакер!8)");</script>

А то сейчас у меня в форму такие данные вводятся вызывая при этом сбой в работе JS скриптов.
...
Рейтинг: 0 / 0
15.04.2014, 13:14
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615240
Фотография Яростный Меч
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Яростный Меч
Участник
Gororкакой самый надёжный способ для того, чтоб нельзя было в неё вводить данные типа:заменять спецсимволы html на сервере.
...
Рейтинг: 0 / 0
15.04.2014, 13:23
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615276
Goror
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Goror
Участник
Яростный МечGororкакой самый надёжный способ для того, чтоб нельзя было в неё вводить данные типа:заменять спецсимволы html на сервере.

Ну это тоже конечно, но у меня прежде чем добраться до сервера, данные сперва по js скриптам бегают, ну всякие транслиты, обрезания лишнего, фильтры и тд. (для снятия лишней нагрузки на сервер) и вот в них и происходит сбой.

Мне желательно сразу данные из input "обезвредить" и потом уже с ними работать и отправлять на сервер.

Как можно это реализовать?
...
Рейтинг: 0 / 0
15.04.2014, 13:48
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615290
Фотография Яростный Меч
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Яростный Меч
Участник
GororКак можно это реализовать?заменять угловые скобки и амперсанд на их спецсимволы.
Код: javascript
1.
str = str.replace(/&/g, "&amp;").replace(/</g, "&lt;").replace(/>/g, "&gt;");



теперь эту строку можно будет воткнуть на страницу через innerHTML (ты ведь так делаешь?)
...
Рейтинг: 0 / 0
15.04.2014, 13:53
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615353
Goror
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Goror
Участник
Яростный МечGororКак можно это реализовать?заменять угловые скобки и амперсанд на их спецсимволы.
Код: javascript
1.
str = str.replace(/&/g, "&amp;").replace(/</g, "&lt;").replace(/>/g, "&gt;");


теперь эту строку можно будет воткнуть на страницу через innerHTML (ты ведь так делаешь?)

Да, в конечном итоге данные выводятся через innerHTML



А как мне ещё от круглых скобок избавиться?

Я добавил:
Код: javascript
1.
str = str.replace(/&/g, "&amp;").replace(/</g, "&lt;").replace(/script/g, "sсript").replace(/>/g, "&gt;");



заменяю в слове script "c" англискую на "c" русскую (так просто для надёжности))

Ещё убрал (;)
...
Рейтинг: 0 / 0
15.04.2014, 14:23
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615370
Фотография Яростный Меч
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Яростный Меч
Участник
GororА как мне ещё от круглых скобок избавиться?зачем?

экранировать надо только угловые скобки и амперсанд.
остальное смысла не имеет.

Goror
Код: javascript
1.
.replace(/script/g, "sсript")

а это вообще нафига? )
...
Рейтинг: 0 / 0
15.04.2014, 14:32
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615402
Goror
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Goror
Участник
Яростный МечGororА как мне ещё от круглых скобок избавиться?зачем?

экранировать надо только угловые скобки и амперсанд.
остальное смысла не имеет.

Goror
Код: javascript
1.
.replace(/script/g, "sсript")

а это вообще нафига? )

Не знаю.. у меня что-то сбой даёт вот такой ввод:

<script>alert(111);</script>

убираю "(" и работает нормально, то есть: <script>alert111);</script> ?
...
Рейтинг: 0 / 0
15.04.2014, 14:53
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615408
Фотография -k2-
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
-k2-
Участник
Goror,

может для надежности было бы лучше весь <script>..</script> выкусывать?
...
Рейтинг: 0 / 0
15.04.2014, 14:57
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615417
Goror
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Goror
Участник
-k2-Goror,

может для надежности было бы лучше весь <script>..</script> выкусывать?

Может быть. А это как? Мне в принципе нужно сохранять исходный вид текста, но только делать его "без обидным" для JS скриптов.


А щас проверил, у меня чисто alert(1); вызывает сбой, а func(1); к примеру не даёт сбой.



То есть служебная функция JS даёт сбой...

Что делать?
...
Рейтинг: 0 / 0
15.04.2014, 15:03
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615435
Фотография -k2-
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
-k2-
Участник
Goror,

Код: javascript
1.
2.
3.
4.
var pos1=inp_text.indexOf("<script>");
pos2=inp_text.indexOf("</script>"); 
if(pos1!=-1 && pos2!=-1)
  var out_text = inp_text.substr(0, pos1-1)+inp_text.substr(pos2+"</script>".length);



както кривовато :) но вроде работает
я бы лучше посмотрела в сторону готового решения по валидации данных
хотя бы как сделано
...
Рейтинг: 0 / 0
15.04.2014, 15:17
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615437
Фотография -k2-
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
-k2-
Участник
поправочка:) лишку обрезала

var out_text = inp_text.substr(0, pos1)+inp_text.substr(pos2+"</script>".length)
...
Рейтинг: 0 / 0
15.04.2014, 15:19
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615440
Фотография -k2-
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
-k2-
Участник
-k2-,

ну и var pos2; :(
...
Рейтинг: 0 / 0
15.04.2014, 15:21
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615509
Goror
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Goror
Участник
-k2-Goror,

Код: javascript
1.
2.
3.
4.
var pos1=inp_text.indexOf("<script>");
pos2=inp_text.indexOf("</script>"); 
if(pos1!=-1 && pos2!=-1)
  var out_text = inp_text.substr(0, pos1-1)+inp_text.substr(pos2+"</script>".length);



както кривовато :) но вроде работает
я бы лучше посмотрела в сторону готового решения по валидации данных
хотя бы как сделано

Будем проверять! ::))
...
Рейтинг: 0 / 0
15.04.2014, 15:50
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615532
Фотография -k2-
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
-k2-
Участник
Goror,

таких <script></script> может быть не одна штука
...
Рейтинг: 0 / 0
15.04.2014, 15:58
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615657
Goror
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Goror
Участник
-k2-Goror,

таких <script></script> может быть не одна штука

Неужели нет в js каких нибудь спец функций как в php к примеру htmlspecialchars и тд?

Чтоб без отказано и в одну строчу.
...
Рейтинг: 0 / 0
15.04.2014, 16:55
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615690
Фотография -k2-
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
-k2-
Участник
Goror,

а тебе уже сказали - на сервере, все равно отправлять туда данные,
а если пользователь скрипты отключил? все эти проверки отвалятся
не надо серверу жизнь облегчать, пусть пашет, он железный
...
Рейтинг: 0 / 0
15.04.2014, 17:08
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615719
Goror
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Goror
Участник
-k2-Goror,

а тебе уже сказали - на сервере, все равно отправлять туда данные,
а если пользователь скрипты отключил? все эти проверки отвалятся
не надо серверу жизнь облегчать, пусть пашет, он железный

Ну до сервера нужно данные довести, а если у меня будет скрипт сбой давать до отправки данных, что делать тогда?

У меня он поэтапно работает, сперва отслеживает ввод данных, затем транслейт функции, затем обрезка лишнего, фильтры и тд и тп. И это всё на JS. А потом уже на сервер.
...
Рейтинг: 0 / 0
15.04.2014, 17:20
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615744
Фотография -k2-
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
-k2-
Участник
Goror,

Код: html
1.
2.
3.
4.
5.
6.
7.
8.
9.
<html>
<body>
<script>function iAmValidator(){console.log("Я маленький скриптик, я облечаю жизнь серверу :) ура");}</script>
<form>
<input name="input1" type="text" value="" onchange="iAmValidator();"/>
<input name="save" type="submit" value="save" />
</form>
</body>
</html>



открой эту страничку с включенным джаваскриптом и выключенным,
данные у тебя все равно уйдут на сервер, то есть на сервере полюбому
нужно предусмотреть проверку данных,транслит, и все такое,
а зачем двойная работа?
я конешно утрирую, без джаваскриптов сейчас уже наверное и сайтов
работающих не осталось :) ну мало :),
но обрабатывать входящие данные на сервере прийдется
...
Рейтинг: 0 / 0
15.04.2014, 17:42
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615758
Goror
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Goror
Участник
-k2-Goror,

Код: html
1.
2.
3.
4.
5.
6.
7.
8.
9.
<html>
<body>
<script>function iAmValidator(){console.log("Я маленький скриптик, я облечаю жизнь серверу :) ура");}</script>
<form>
<input name="input1" type="text" value="" onchange="iAmValidator();"/>
<input name="save" type="submit" value="save" />
</form>
</body>
</html>



открой эту страничку с включенным джаваскриптом и выключенным,
данные у тебя все равно уйдут на сервер, то есть на сервере полюбому
нужно предусмотреть проверку данных,транслит, и все такое,
а зачем двойная работа?
я конешно утрирую, без джаваскриптов сейчас уже наверное и сайтов
работающих не осталось :) ну мало :),
но обрабатывать входящие данные на сервере прийдется


Ну тут в "лобовую", при нажатии кнопки save, данные через GET запрос, прям в URL строке передаются, а моя форма ввода работает через асинхронные передачи данных, то есть я могу и не менять URL. Ну и на счёт "всю работу отдавать серверу". Ну можно и так, но зачем гонять десятки лишних запросов, когда можно обходиться одним?)
...
Рейтинг: 0 / 0
15.04.2014, 17:55
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615784
Фотография -k2-
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
-k2-
Участник
Goror,

я твоей задачи не знаю, сужу по тому што в ветке написано:
скрипты ты вырезал, сделай ещё обработку ошибок try ... catch ...,
чтобы скрипты не падали

одной функции, чтобы обезвредить входящие данные,
в джаваскрипте помоему нет, у всех разное представление о вредных
и полезных данных, все это имхо, я в общемто новичок, меня не слушай
слушай старших камрадов :) удачи
...
Рейтинг: 0 / 0
15.04.2014, 18:12
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615806
Goror
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Goror
Участник
-k2-у всех разное представление о вредных
и полезных данных

А что там долго думать, если вводимые пользователем данные, взаимодействуют с скриптами и тд, нарушая при этом их функциональность и создавая потенциальную угрозу, значит данные вредные:) Ежели не мешают работе сервера, не грузят его и тд. Значит полезные данные!)
...
Рейтинг: 0 / 0
15.04.2014, 19:02
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615812
Фотография -k2-
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
-k2-
Участник
Goror,

по твоей логике все входные данные вредны :)
...
Рейтинг: 0 / 0
15.04.2014, 19:12
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615818
Goror
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Goror
Участник
-k2-Goror,

по твоей логике все входные данные вредны :)


Почему все?) Я ведь написал (те которые взаимодействуют с скриптами, нарушая их работу!)

Если к примеру мне в форму введут таймер с интервалом 1 мили.сек и будут отправлять запросы серверу или что-то подобное)
...
Рейтинг: 0 / 0
15.04.2014, 19:19
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615822
Фотография -k2-
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
-k2-
Участник
Goror,

но они же грузят сервер :) ну ладно это все лирика

для валидации данных на клиенте можно потрогать например
jquery.validate.js, но вообще для валидации данных подход другой
- данные не чистятся за пользователем, а проверяются, не прошли
проверку - не отправляются, пусть сам вводит корректные данные
на хабре можно в частности статьи поискать
...
Рейтинг: 0 / 0
15.04.2014, 19:33
| Ответить | Цитировать | Написать  
[JS] Обезопасить поле ввода INPUT, защита от инъекций
    #38615828
Goror
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Goror
Участник
-k2-Goror,

но они же грузят сервер :) ну ладно это все лирика

для валидации данных на клиенте можно потрогать например
jquery.validate.js, но вообще для валидации данных подход другой
- данные не чистятся за пользователем, а проверяются, не прошли
проверку - не отправляются, пусть сам вводит корректные данные
на хабре можно в частности статьи поискать

Я редко пользуюсь jquery скриптами, они конечно удобные, но довольно массивные библиотеки, + сложно что-то поменять в структуре (даже незначительно)

p.s мне легче самому написать нужную функцию, при этом она будет в 10-100 раз меньше готовых библиотек)

Ну это чисто мой подход)
...
Рейтинг: 0 / 0
15.04.2014, 19:57
| Ответить | Цитировать | Написать  
25 сообщений из 29, страница 1 из 2
  1  все
Форумы / HTML, JavaScript, VBScript, CSS [игнор отключен] [закрыт для гостей] / [JS] Обезопасить поле ввода INPUT, защита от инъекций
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
Польз. соглашение   Полит. конфиден.  
NoSQL.ru       Кролег: Проекты, Новости, Чат       РЕД ФОРУМ       Фотоальбом: Участники, Встречи
Закрыть
start [/forum/topic.php?fid=22&msg=38615276&tid=1447179]:
 0ms
get settings:
 9ms
get forum list:
 11ms
check forum access:
 3ms
check topic access:
 3ms
track hit:
 175ms
get topic data:
 8ms
get forum data:
 2ms
get page messages:
 54ms
get tp. blocked users:
 2ms
others: 229ms
total:  496ms
созд. / загр.: 496ms
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]