Dans le cas général c'est juste une fausse bonne idée, on se retrouve à jongler avec des données dont on ne sait plus trop lesquelles sont échappées ou pas, pour quoi elles sont échappées, etc
D'ou l'interet de nomme judicieusement les champs des objects. Beaucoup se foutent de java et de ses nom des methodes demsurement long, mais au moins entry.getCommentsHTMLEscaped(), ca laisse pas de doute.
En plus un fonction d'échappement html c'est un remplacement de 4 caractères dans une chaîne, c'est pas une fonction coûteuse.
T'en es si sur que ca?
Meme si ta chaine fait 10 000 de long et que tu la sert 1000 fois par seconde? Ou pire, si elle fait 100 de long mais uqe t'en sert 100 a la fois, 1000 fois par secondes?
Comment t'html-escaoe qq chose comme:
<img src="plop" width="42" height="42" onload="alert.show('Attention derriere toi! un singe a trois tete!')"/>
ou
<a href="du cul du cul du cul">Un site sur les bebe phoques</a>
tu remplace just les angles brackets par des & lt; & gt;?
Ou tu dumpes tout sauf le src pour image?
Pour le a tu fais comment?
Et si le html est mal forme, mais suffisament bien pour etre interprete par un browser?
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Ruby pour les nuls
Posté par pasScott pasForstall . En réponse au journal XSS. Évalué à -7.
D'ou l'interet de nomme judicieusement les champs des objects. Beaucoup se foutent de java et de ses nom des methodes demsurement long, mais au moins entry.getCommentsHTMLEscaped(), ca laisse pas de doute.
T'en es si sur que ca?
Meme si ta chaine fait 10 000 de long et que tu la sert 1000 fois par seconde? Ou pire, si elle fait 100 de long mais uqe t'en sert 100 a la fois, 1000 fois par secondes?
Comment t'html-escaoe qq chose comme: <img src="plop" width="42" height="42" onload="alert.show('Attention derriere toi! un singe a trois tete!')"/>
ou
<a href="du cul du cul du cul">Un site sur les bebe phoques</a>
tu remplace just les angles brackets par des & lt; & gt;?
Ou tu dumpes tout sauf le src pour image?
Pour le a tu fais comment?
Et si le html est mal forme, mais suffisament bien pour etre interprete par un browser?
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.