עורך טקסט עשיר לאתר.

[dor77]

שלום.
אני רוצה לאפשר לגולשים לעצב את הטקסט שהם מכניסים לאתר, צבע, גודל, להוסיף תמונה וכ'ו.
יש למישהו עורך כזה?
ללא אפשרות להכניס html כמובן..

וגם איך מתקינים את זה? איך זה פועל? זה נכנס למסד וזהו? כשאני שולף את זה, זה בא מעוצב?

אשמח לעזרה, לא התעסקתי עם זה עד היום.

תודה.

[Shay Ben Moshe]

בדוק את CKEditor וTinyMCE. עורכי טקסט WYSIWYG מצויינים.

[dor77]

ואיך זה פועל?
מה אני אמור לעשות עם העורך?

איך אני מקבל את הנתונים?

תודה.

[mrns]

נכתב במקור על ידי dor77

ואיך זה פועל?
מה אני אמור לעשות עם העורך?

איך אני מקבל את הנתונים?

תודה.

אתה מעביר את התוכן ב POST למשתנה ומכניס את תוכן המשתנה למסד וכל בכל פעם שתרצה תוכל להדפיס אותו.

[IgalSt]

חושב לזכור שאם מדובר בגולשים רגילים (ולא כאלה שבדקת ואתה וסמך עליהם כמו לדוגמה מנהלים), מדובר בפרצת אבטחה לא קטנה שתאפשר להם להזריק כל קוד HTML, JS או CSS שירצו לעמוד שאתה נותן לערוך בצורה כזאת.
המשמעויות הן שאפשר בקלות לנתב גולשים מהעמוד הזה לאתר אחר במקרה הטוב, או במקרה הרע לגנוב עוגיות של משתמשים ולהתחזות להם לדוגמה.

[dor77]

אז איך בכל זאת אני יכול לאפשר לגולשים (שאני לא סומך עליהם) לעצב את התוכן מבלי להיות חשוף לפירצה?
יש את זה בהרבה אתרים, בעיק ר אתרי מאמרים.

תודה.

[mrns]

נכתב במקור על ידי IgalSt

חושב לזכור שאם מדובר בגולשים רגילים (ולא כאלה שבדקת ואתה וסמך עליהם כמו לדוגמה מנהלים), מדובר בפרצת אבטחה לא קטנה שתאפשר להם להזריק כל קוד HTML, JS או CSS שירצו לעמוד שאתה נותן לערוך בצורה כזאת.
המשמעויות הן שאפשר בקלות לנתב גולשים מהעמוד הזה לאתר אחר במקרה הטוב, או במקרה הרע לגנוב עוגיות של משתמשים ולהתחזות להם לדוגמה.

היום כל עורך טקסט מאובטח והם חסמו את חורי האבטחה האלו...
תנסה לבד:
http://ckeditor.com/demo

[IgalSt]

נכתב במקור על ידי mrns

היום כל עורך טקסט מאובטח והם חסמו את חורי האבטחה האלו...
תנסה לבד:
http://ckeditor.com/demo

חור האבטחה לא נמצא בעורך עצמו, אלא בצד שרת שקולט את הפלט של העורך: מלכתחילה אתה מאפשר בשדה זה שיהיה קוד HTML וכתצואה מכך גם קוד JS.
אז נכון שאתה יכול לנסות לסנן החוצה תגיות <script>, אבל יש כ"כ הרבה אפשרויות לעקוף את זה.
כמה דוגמאות:

<script > // note the space before ">"
<scri<!---->pt>

[~The_Sultan~]

נכתב במקור על ידי IgalSt

חור האבטחה לא נמצא בעורך עצמו, אלא בצד שרת שקולט את הפלט של העורך: מלכתחילה אתה מאפשר בשדה זה שיהיה קוד HTML וכתצואה מכך גם קוד JS.
אז נכון שאתה יכול לנסות לסנן החוצה תגיות <script>, אבל יש כ"כ הרבה אפשרויות לעקוף את זה.
כמה דוגמאות:

<script > // note the space before ">"
<scri<!---->pt>

בשורה אחת:

PHP קוד:

preg_replace("/<.*script.*>/", "", $content); 


בנוסף, ניתן לחסום פונקציות מסוימות כמו קוד מקור בעורך CKEDITOR בקלות, וזה יאבטח את האזור.

[dor77]

אני מאבטח את המשתנה שמתקבל מהעורך עם mysql_real_escape_string ועם htmlspecialchars אז זה פותר את הבעיה לא?