И еще к вопросу о недоверии к данным, полученным от пользователя

[dil]

И не надейтесь, что если вы используете умную базу данных с правильными констрейнтами и значения туда передаёте только при помощи байндинга, то вам больше нечего бояться.
Фигвам. Injection может быть вовсе не только в SQL. Прямое использование данных, полученных от пользователя, при формировании команд для операционной системы, имён файлов и даже при генерации HTML-кода обратно тому же пользователю, является потенциально опасным.

Вот тут есть любопытная заметка на сходную тему.
И дело даже не в том, что писатели из Майкрософта в очередной раз выпендрились и за каким-то х непонятно зачем приделали возможность неявного запуска джаваскрипта посредством свойства behavior в css.

А в том, что вот так делать НЕЛЬЗЯ:

<?php
echo "<link rel=\"stylesheet\" type=\"text/css\" href=\"" . $_GET["theme"] . "/style.css\">\n";
?>

Comments

[ivlad.livejournal.com]

я думаю, это можно считать вариантом XSS. хотя, хрен ее знает, эту терминологию. :)

[dil.livejournal.com]

По сути да, это внедрение своего кода в выдачу сайта, то есть, XSS.

[mclap.livejournal.com]

И, каким-то образом, придётся выкашивать атрибут style в тех местах, где принимается html :(

[kukutz.livejournal.com]

safehtml (http://pixel-apes.com/safehtml).

[mclap.livejournal.com]

ага, уже читаю. 10x!