[Javascript] Regex

Mais il y a plus simple:

Quand tu reçois le contenu d'un champ de l'utilisateur, tu échappe les caractères HTML.
(La plupart des langages possèdent cette fonction).

Exemple:
< sera transformé en & lt;
& sera transformé en & amp;
etc.

Comme ça, aucun moyen s'utiliser la moindre balise HTML.
Mais au moins ça permettra à ceux qui participent au forum de parler de code HTML sans se faire censurer..

Dans ce cas, tu peux faire une regexp de remplacement avec une callback
(La fonction est appellée pour chaque occurence de la chaîne, et c'est la fonction qui fourni la chaîne de remplacement).

C'est plus souple.

ça permet de l'exprimer plus facilement dans ta fonction.

(Je ne me rappelle plus de la syntaxe).


Hé... une minute. Tu parles de Javascript ?
Rassures-moi: Tu t'assure bien aussi côté serveur qu'il ne reste aucune balise HTML, hein ?

Salut.

Je suis globalement d'accord avec sebsauvage.

Surtout :
Hé... une minute. Tu parles de Javascript ?
Rassures-moi: Tu t'assure bien aussi côté serveur qu'il ne reste aucune balise HTML, hein ?
Il y a mille moyens de contourner JS et un formulaire ;)

Sinon, je te suggère une solution qui me parait simple :
(a faire sur le seveur)
-un htmlentities ou htmlspecialchars (voir php les ressemblances a ne pas confondre pour choisir).
-tu remplaces les balises spécifiques au bbcode ou a ton code :

$message=preg_replace('#<(b|gras)>(.+)</\1>#U','<b>$2</b>',$message);

-Tu remplaces les balises autorisées :

$message=preg_replace('#<(a|div|etc...)>(.+)</\1>#sU','<$1>$2</$1>',$message);

C'est vria qu'on pourrait quand même avoir besoin d'un preg_replace_callback (ce que cite sebsauvage) pour vérifier qu'il n'y pas n'importe quels attributs (je pense a onclik, et tout ce que l'on peut faire en JS)


a plus

Hé... une minute. Tu parles de Javascript ?
Rassures-moi: Tu t'assure bien aussi côté serveur qu'il ne reste aucune balise HTML, hein ?
Il y a mille moyens de contourner JS et un formulaire ;)

Je sais bien que le JS présente un certain nombre de failles mais, à partir du moment où tu vires toutes les balises HTML (dont la balise "script") niveau client... et que tu fais effectivement un autre check niveau serveur, je pense que le risque est quand même limité non ?

En fait, je voudrais juste savoir s'il y a moyen de parvenir à mes fins via une seule Regex en Javascript ou s'il faut obligatoirement que je contourne le problème via le genre de solution que tu m'as proposée.

Car quand tu me dis que faire :

$message=preg_replace('#<(b|gras)>(.+)</\1>#U','<b>$2</b>',$message);

Je vois mal comment tu fais pour virer (avant ou après) toutes les autres balises HTML (ie non autorisées) de ton texte... puisque tu ne te retrouves qu'avec des balises HTML, ie balise entre < et >.

En fait, ta solution va bien dans le cas d'un parser BBCode par exemple (remplacer des balises personnalisées par des balises HTML) mais ce n'est pas ce que je veux (ne garder que certaines balises HTML)... d'autant que je connais déjà les Regex et que j'avais déjà écarté ta solution.

Je n'aurais pas posé la question si j'avais voulu faire un simple parser... chose que je sais déjà faire depuis longtemps.

C'est pour ça que j'aurais aimé trouvé une Regex qui me supprime toutes les balises HTML non autorisées (et leur contenu) pour ne pas avoir à me trouver avec un mélange de balises entre < et >

Un truc du genre :

/</?[^b][^>]*>/gi

mais qui marche avec toutes les balises autorisées.

Comme ça tu te retrouves avec un texte propre direct...

Donc existe t-il ce genre de Regex en Javascript car en php, suffirait d'utiliser la fonction strip_tags() avec en 2nd paramètre les balises à ne pas supprimer.