validar textarea

[Blashak]

Buenas,

A la hora de validar los datos de un formulario hace falta validar un textarea por tema de seguridad?? o se permite cualquier tipo de caracter¿??

Un saludo

[andres_15_]

Iniciado por Blashak

Buenas,

A la hora de validar los datos de un formulario hace falta validar un textarea por tema de seguridad?? o se permite cualquier tipo de caracter¿??

Un saludo

si es textarea, es porque es una opinion por lo general, pero si se pueden validar carácteres o cambiarlos, por ejemplo si dicen hijo de p... lo puedes coger y cambiarlo por hijo de p #$%!

[dashtrash]

No confundas el input que pintas en HTML, con el valor $_POST que recibes.Tú no "validas un textarea".Validas una variable POST.
Que tú piensas que esa variable POST procede de lo que haya escrito alguien en un textarea? Pues ya tienes un primer problema de seguridad.

[areslepra]

Agrego algo dicho a lo de dashtrash, lo que debas validar depende de que son los datos y donde van los datos. No se trata igual un texto plano, que un HTML, etc.

[Blashak]

Iniciado por areslepra

Agrego algo dicho a lo de dashtrash, lo que debas validar depende de que son los datos y donde van los datos. No se trata igual un texto plano, que un HTML, etc.

Es un textarea en el que pueden insertar texto sobre la descripcion personal. Entiendo que la validación que se tiene que hacer no son los caracteres sino que sea realmente un textarea lo que están enviando??

[dashtrash]

Tú no validas inputs HTML.Tú validas datos.Cuando pienses en validación de datos, olvídate de los inputs HTML de donde salen.Tienes que validar que lo que te llega es un valor correcto para el dato que espera tu script.

[Blashak]

Iniciado por dashtrash

Tú no validas inputs HTML.Tú validas datos.Cuando pienses en validación de datos, olvídate de los inputs HTML de donde salen.Tienes que validar que lo que te llega es un valor correcto para el dato que espera tu script.

Me podrías poner un ejemplo de como validarías este tipo de datos, gracias.

[dashtrash]

Pues comprobando que se cumplen caracteristicas de un dato correcto: tamaño minimo, máximo, trim de espacios, si se permite html o no, detector de XSS para log, y algunas precauciones para mysql.

[Blashak]

Iniciado por dashtrash

Pues comprobando que se cumplen caracteristicas de un dato correcto: tamaño minimo, máximo, trim de espacios, si se permite html o no, detector de XSS para log, y algunas precauciones para mysql.

creo que validando un minimo, maximo y mysqli::real_escape_string basta, ya que el resto: xss, html.. no pasa nada si se guarda en la bd porque utlizo la funcion htmlentities en los echos. Es correcto??

[dashtrash]

Si yo defino que un dato no permite html, el dato no debe tener html.Es una propiedad del dato, y, en caso de tener html, al usuario hay que advertirle de que el campo es incorrecto, y debe modificarlo.
Como indico, el detector de XSS es para *log*.
Sobre que no pasa "nada", ya que utilizas htmlentities en los echos, depende de dónde hagas el echo.

[Blashak]

Iniciado por dashtrash

Sobre que no pasa "nada", ya que utilizas htmlentities en los echos, depende de dónde hagas el echo.

Como que depende de donde haga el echo?? todo contenido que se muestre en la web utilizando la funcion htmlentities no tiene que preocuparte por nada mas. Si no es así podes explicar.