FILTER_SANITIZE_STRING удаляет символ <<<<<<<<<<<<<<<<<<<<<<<<><<>

Question

У меня странная проблема при использовании FILTER_SANITIZE_STRING на переменной (заполненной человеком). Кажется, что он линяет символ < и любой текст, который появляется после этого. Символ > остается нетронутым.

Я полагаю, он считает, что < является тегом HTML, который нужно удалить, однако за ним нет закрывающего тега, поэтому я не знаю, почему он будет вести себя так. Есть ли способ заставить его оставить < на месте и все еще дезинформировать то, как он должен?

Answer 1

Корневая проблема заключается в том, что при использовании FILTER_SANITIZE_STRING для стирания тегов HTML вы обрабатываете свой ввод как HTML. Согласно вашему описанию, ваш ввод представляет собой простой текст. Таким образом, фильтр может только повредить входные данные, как уже сообщали пользователи.

Хотя это, по-видимому, довольно популярная техника, я никогда не понимал концепцию чередования HTML-тегов в обычном тексте как метод санитарной обработки. Если это не HTML, вам не нужно заботиться о тегах HTML, по той же причине, что вам не нужно заботиться о ключевых словах SQL или командах командной строки. Это ничего, кроме данных.

Но, конечно, когда Вы вводите вашу строку в HTML после этого вам нужно, чтобы избежать его, чтобы убедиться, что:

1. Ваши данные отображаются как есть
2. Результат остается в силе HTML

Именно поэтому htmlspecialchars() существует. Аналогичным образом, вам необходимо использовать соответствующий механизм эвакуации, когда вы динамически генерируете любой другой код: SQL, JavaScript, JSON ...