SEGURIDAD en un formulario

[pau8000]

Hola.
Mediante un script leo el contenido de un formulario y se crea un archivo .html con él (es para que los usuarios se creen una pagina web)

Dado que no puedo usar htmlentities o htmlspecialchars ya que si lo hago todo el codigo HTML se formatea, estoy buscando alguna orden en php que evite que se introduzca codigo en php en el formulario, ya que se procesará antes de generar el archivo html, y eso es una vulnerabilidad muy grande.

Ya he puesto que se substituya <? y ?> por " " (nada), y ' por &acute y lo mínimo está echo, pero creo que aun es inseguro. Alguna sugerencia? La idea es que no se pueda ejecutar nada en php.

Aqui esta el codigo:

Código PHP:

  <? 
if (strlen($_POST["campohtml"]) > 2500) { 
      echo "<div align=\"center\"> 
  <h3>ERROR</h3> 
<p> Has superado el tamaño maximo del formulario </p> 
</div>"; 
 
} 
else { 
$pagina_html = "".$_POST["campohtml"].""; 
$pagina_html = str_replace("'","&acute;",$pagina_html);  
$pagina_html = str_replace("<?",":S",$pagina_html);  
$pagina_html = str_replace("?>",":S",$pagina_html);  
} 
?>   

Muchas Gracias

[josemi]

Hola,

Mira si te sirve strip_tags() (www.php.net/strip_tags).

Suerte.

[pau8000]

Gracias por contestar. Lo he probado, pero tambien me formatea todo el html (los usuarios escriben su pagina en html y php genera un archivo html, pero claro primero tiene que leerlo y en esa lectura es donde se "ejecutaria" el codigo maligno que un usuario pudiera haver incluido en el form).

Se puede permitir html pero negar php? Gracias.

[Cluster]

La función ... htmlentities() hace lo mismo (y más) que la série de str_replace() que tienes en tu código actual ...

No entiendo donde dices que se "ejecutaria" ese código (acaso haces un "include()" del código que ha ingresado ese usuario?) ..

Un saludo,

[josemi]

Si te fijas en strip_tags() puedes especificar la lista de etiquetas permitidas (solo tendrias que especificar todas las etiquetas HTML que quieras permitir). Y si revisas los comentarios de los usuarios, veras muchos codigos para permitir ciertas etiquetas.

Suerte.