[Max_Koluszky]

O, wow. Laravel wcale nie filtruje wejścia? Muszę o wszystko zadbać sam?

#php #programowanie #laravel

[kossakov]

yep, laravel wspiera idee DIY ;)

[egoistyczny_logistyk]

@Max_Koluszky: ale po co framework miałby filtrować input z adresu w tym miejscu? Nie znam laravela, ale jeśli stworzyłeś sobie w routingu ścieżkę do której pasuje ten html z obrazka, to co w tym dziwnego, że dostajesz to w takiej postaci jako parametr w kontrolerze?

Problemem jest to, że nie wyescapowałeś tego w widoku, a tutaj dokumentacja mówi tak:

Of course, all user supplied data should be escaped or purified. To

[Max_Koluszky]

@egoistyczny_logistyk: Wiem, że wyjście jest filtrowane. Wiadomo, że taką sytuację trzeba wymusić, ale zrobiłem to po to właśnie, żeby sprawdzić czy filtrowanie jest też na wejściu.

[MacDada]

@Max_Koluszky: filtrowanie !== escape'owanie

Escape'ujesz zawsze na wyjściu – bo escape'owanie zależne jest od kontekstu – inaczej będziesz zabezpieczał dla HTML, inaczej dla XMLa, inaczej dla URLa, inaczej dla JSONa, inaczej dla YAMLa, inaczej dla pliku INI, inaczej dla SQLa, itp, itd – nie ma „uniwersalnej” metody escape'owania, więc nie może ono iść na wejściu.

Filtrujesz tylko jeśli chcesz się pozbyć śmieci (ale nie ze względów bezpieczeństwa, bo o to dba