eval problematico

[MyPHP]

Hola

Pues uso esto

Código PHP:

          eval('$salida = "' . str_replace('"', '\"', $this->fetch_templates($templat)) . '";');
        echo $salida;  
   

$this->fetch_templates($templat) Devuelve perfectamente un javascript de la base de datos, el problema tambien es el javascript, que es este:

Código Javascript:

function actualizar(elemento,otro,algo,campo){
    if(otro==0){
document.getElementById(algo).innerHTML="<input type=text value=\""+elemento+"\" ondblclick=\"actualizar(this.value,'1','"+algo+"','"+campo+"')\"   />";
 

si se fijan tiene dentro los caracteres \", pero la funcion str_replace los sustituye por ", como le hago para evitar este problema?

Intente quitando la funcion str_replace(), pero la variable $salida me queda vacia, de esta manera

Código PHP:

eval('$salida = "' . $this->fetch_templates($templat) . '";');
 

o sera mejor hacer esto? y no usar eval, es que he leido que es mas vulnerable, sera cierto? o solo cuando se hacen llamar funciones usando eval

Código PHP:

echo $this->fetch_templates($templat);
 

Saludos y gracias de antemano

[ocp001a]

Eval lo que hace es ejecutar un código php, y tu estás haciendo eval a un código javascript.

Si como imagino lo que quieres es "imprimir" (escribir) el código javascript, sólo debes hacer un echo.

El uso de eval es peligroso si ejecutas código que alguien más pueda crear (ya sea pasado por parámetros o bien extraido de una BD). Muchas personas opinan que el eval no debería usarse y es cierto que se debería evitar en lo posible, no obstante ante cosas demasiado complejas me he topado un par de veces con que es inevitable.

[MyPHP]

Iniciado por ocp001a

Eval lo que hace es ejecutar un código php, y tu estás haciendo eval a un código javascript.

Si como imagino lo que quieres es "imprimir" (escribir) el código javascript, sólo debes hacer un echo.

El uso de eval es peligroso si ejecutas código que alguien más pueda crear (ya sea pasado por parámetros o bien extraido de una BD). Muchas personas opinan que el eval no debería usarse y es cierto que se debería evitar en lo posible, no obstante ante cosas demasiado complejas me he topado un par de veces con que es inevitable.

Es que en el javascript uso variables, que defino en el script PHP, que yo sepa, podrias corregirme si me equivoco, pero creo eval, es la unica forma para obtener HTML, y ponerle variables, no?

[ocp001a]

De ninguna manera, el simple echo de php construye el codigo javascript con los valores que tu pongas. eval en php ejecuta codigo php, también javascript cuenta con eval, el cual desde luego ejecuta javascript.

Si como me imagino con php lees la bd y escribes el contenido de una página, con el echo estás más que servido.

Ahora bien, si estás cargando el contenido de la bd y lo escribes dinámicamente y quieres ejecutar el javascript, lo que deberías hacer es regresar mediante alguna llamada ajax la funcion javascript. Si es este último caso, depende de si estás usando alguna ayuda de ajax (jquery, mootools , xajax) el cómo regresar dicha función.

[MyPHP]

Iniciado por ocp001a

De ninguna manera, el simple echo de php construye el codigo javascript con los valores que tu pongas. eval en php ejecuta codigo php, también javascript cuenta con eval, el cual desde luego ejecuta javascript.

Si como me imagino con php lees la bd y escribes el contenido de una página, con el echo estás más que servido.

Ahora bien, si estás cargando el contenido de la bd y lo escribes dinámicamente y quieres ejecutar el javascript, lo que deberías hacer es regresar mediante alguna llamada ajax la funcion javascript. Si es este último caso, depende de si estás usando alguna ayuda de ajax (jquery, mootools , xajax) el cómo regresar dicha función.

Es que en realidad necesito que me ayuden a resolver el problema que expuse en el primer post, en este caso, no puedo usar ajax, y tengo que usar eval, porque este eval, lo estoy usando para obtener HTML tambien de la Base de datos, y el HTML tiene variables

Solo necesito que me ayuden con la sintaxis correcta del EVAL, que les expongo en el primer post

[ocp001a]

Pero es que no haz aclarado cómo estás usando o cómo quieres manejar el javascript.
Pero una cosa es segura, eval de php no hará nada con una expresión en lenguaje javascript, y bueno, finalmente a tu última pregunta, eval en php ejecutará codigo php correctamente formado, pero si ese codigo contiene comillas o signos de moneda, éstos habrá que "escaparlas", esto lo puedes hacer simplemente con addslashes.

[MyPHP]

Estoy haciendo esto, que si me funciona, no se si pudiera evitar el eval, me podrias decir?

Código PHP:

$variable="algo";
$ruta="miruta";
$otravar="unavar";
        eval('$salida = "' . addslashes($this->fetch_templates($templat)) . '";');
        echo str_replace("\'", "'",$salida);
 

Y en el html o en el javascript guardado en la base datos es:

Código HTML:

<title>$variable</title>
<script src="$ruta"></script>
 

En javascript a veces:

Código Javascript:

var algo=$otravarphp
 

Del modo que estoy haciendo las cosas efectivamente me permite hacer eso, pero habra alguna manera de poner variables php en el html, evitando usar el eval? en este caso

Saludos

[ocp001a]

Ok, si dentro del código javascript tienes valores que deberían ser tomados de php si, necesitas el eval para que dichas variables tomen sus valores dentro de php, no obstante y sin conocer a fondo la aplicación que estás manejado me parece demasiado rebuscado y que debería tener otra solución.

Aún así la solución inmediata es que al ser código javascript con variables php hagas un echo, es decir algo como esto:

Código PHP:

$codigojs=$this->fetch_templates($templat);
$codigojs=str_replace("$","\$",$codigojs);
eval("echo \"$codigojs\"; ");
 

[MyPHP]

Te agradesco tu ayuda, es que es un sistemita de templates, por eso parece dificil dejar de usar eval, hay alguna manera de hacer mas segura el eval?

Saludos