Sicherheit der Javascript wysiwyg Editoren

[JimmDaBimm]

Hallo,

also ich hab mir grad ein wenig mit diesen auf JavaScript basierenden wysiwyg editoren für Textfelder befasst und hab gleich mal ne Frage. Dieser TinyMCE sieht sehr interesannt aus, allerdings hab ich mir, ob man diesen oder ähnliche den benutzer zur Verfügung stellen könnte.... also jedem der registriert ist.

Da aber html code sogar selbst editiert werden kann stellt sich mir die Frage, ob das rein sicherheitstechnisch überhaupt empfehlenswert ist oder Benutzer damit zuviel Unsinn anstellen könnten(Zum Beispiel Eigenen PHP Code oder JavaScript ausführen).

Für jegliche Hinweise wäre ich sehr dankbar

[onemorenerd]

Willst du wissen, ob TinyMCE "bösen HTML-Code" automatisch entfernt? Nun das hängt ganz von deiner Konfiguration ab. Aber du kannst dich ohnehin nicht darauf verlassen, denn Tiny läuft beim Client!

Oder willst du wissen, ob man Usern überhaupt direktes Markup per HTML erlauben sollte? Wenn du mit den Risiken leben kannst, nur zu!

Oder bist du dir gar nicht sicher, welche Risiken das mit sich bringt? http://de.wikipedia.org/wiki/Cross-Site_Scripting

[pekka]

Das Risiko, daß fremder PHP-Code ausgeführt wird, ist gleich null, wenn der Code nicht bei der Ausgabe durch den PHP-Interpreter gejagt wird - was aber eine extreme Fehlkonstruktion wäre.

Potentiell böser HTML-Code (Javascript, DirectX-Einbettungen, Applets und so weiter) läßt sich serverseitig rausfiltern, das muß aber Hand und Fuß haben (Also z.B. nicht nur Javascript-Brocken, sondern auch Events in Elementen und so weiter).

Behält man die Cross-Site-Risiken im Auge, ist das Risiko insgesamt sehr überschaubar.

[JimmDaBimm]

Danke euch für die Antworten. Nungut .. wenn ich mir das so anschaue... werd ich für die Benutzer wohl doch lieber n paar BBCodes zusammenschustern