хотел спросить, например, зарегистрированный пользователь редактирует комметарий, и если ошибка какая-то в данных которые он ввел, то я возвращаю этот текст эму обратно в textarea который он ввел (чтобы не тупо было, чтобы ему опять не вводить его заного...)

нужно ли этот текст экранировать от xss? (этот текст доступен ТОЛЬКО этому пользователю, ну а то что обще доступно, то конечно экранируется от XSS...)
в чем тут опасность? зарегистрированный пользвоатель может поставить вредоносный JS и мой сайт будет подключатся к другому сайту и там спамить?? НО js все таки стоит на клиенте и там работает...?
(как я думаю: сервер отдал браузеру html, дальше браузер все что хочет то с ним и делает, или нет? т.е. не надо ничего экранировать...)

====

раньше у меня все экранировалось... (magic_quotes_gpc = On  htmlspecialchars() )
сейчас у меня тут есть много классов с интерфейсами, есть CRUD, там есть метод который вызывается чтобы экранировать XSS только там где надо, по это я бы хотел бы узнать точный ответ...

Это сообщение отредактировал(а) gcc - 15.3.2010, 10:47

какая разница, что у пользователя в браузере, если он это сам вставляет? провести против себя кулхацкерскую атаку он сможет и без твоего сайта

я  случайно увидел на анти-чате, там рекомендовали если пользователь вводит в поиск слова, и то что ему возвращается, нужно экранировать...
хотел переспросить....

...я так понял что не нужно это экранировать...

Это сообщение отредактировал(а) gcc - 15.3.2010, 15:38

экранировать нужно, но для вывода в форму данные все равно в обязательно порядке всегда проходят htmlspecialchars, так что никакие дополнительные преобразования не требуются.

Это сообщение отредактировал(а) Ипатьев - 15.3.2010, 17:04