【PHP】下らねぇ質問はID出して書き込みやがれ 100

**nobodyさん** · 2010/10/27(水) 17:41:33

質問者はまず>>1を良く読むこと（必須！）
過去スレ、関連スレ、FAQなどは>>2-10辺り
次スレは>>980が立てる。10分以内に立たない場合、宣言してから立てたい人が立てること。

◆前スレ
【PHP】下らねぇ質問はID出して書き込みやがれ 99
http://hibari.2ch.net/test/read.cgi/php/1286938893/
◆質問用テンプレ
【OS名】CentOS
【PHPのバージョン】5.3
【連携ソフトウェア】MySQL ImageMagick
【質問内容】

◆質問する時の注意
・スレを上げて自分のIDを表示させること。（メール欄に何も記述しない。専ブラのsageチェックを外す）
・己の行った操作、変更などを詳しく明記すること。
・エラーメッセージはそのまま表記すること。「エラーが出ます」だけでは回答不可。
・質問者として、態度をわきまえること。
・事前に関連リンクの公式マニュアル、リファレンス本くらいはちゃんと目を通しておくこと。
（PHPで最良の教本はこの公式マニュアル。市販の書籍は嘘が多いので鵜呑みにしない。）

◆質問後の注意
・2回目以降は最初に質問した際のレス番号を入れて、偽者防止に必ずIDを表示させること。
・解決しなくても回答をもらった場合はお礼を言うこと。
　（荒らし、煽りは除く。煽られたときも、無闇に反論せずスルーすること。）

◆回答者への注意
・誰にレスしているのか分からないと困るので、>>(アンカー)をつけて回答すること。

【その他諸注意】
・SQL・正規表現・PEAR・テンプレート(Smarty等)・フレームワークは各該当スレへ

**nobodyさん** · 2010/11/12(金) 02:05:48

XSSで問題なのはJavaScriptなので
それらを無効にできればよい
具体的にはjavascript文字列、<script>タグ、onClickなどのonイベントハンドラあたりを除去かな
まぁ無難なのは直接タグを記述させるのではなく
プレースホルダのような感じで代わりのものを使用する方法
なんか適当な代替タグのようなものを使って利用者にはそれで記述してもらう
例えば[太字]あいうえお[/太字][強調]こんにちは[/強調]とかしてもらって
サーバ側でhtmlspecialchars処理のあとに[太字]を<strong>に置き換えたりする処理をすればよい

**nobodyさん** · 2010/11/12(金) 02:14:00

>>890
strip_tagsは
<span onmouseover="alert('XSS!!')" style="display:block;width:100%;height:100%">hey</span>

なんて記述も余裕でスルーするので、>>891の方法が現実的