Come e quando utilizzare filter_xss () e check_plain ()?

Ci sono molti file modello come questo views-view-fields--magazine--magazine.tpl.phpnel mio sito web. come e quando dovrei usare filter_xss () e check_plain () per migliorare la sicurezza? per esempio questo è il codice:

<div>
    <div class="bf-header bf-article-header"><?php print $fields['title']->content; ?></div>
    <div class="bf-article-body"><?php print $fields['field_magazine_body']->content;?></div>
    <div class="bf-article-image"><?php print $fields['field_magazine_image']->content;?></div>
</div>
<div class="separator article-view-separator"></div>

Come posso applicare quelle funzioni in esso?

Per prima cosa, leggi su questi nell'API Drupal:

• filter_xss
• check_plain

Quindi check_plain()codifica caratteri speciali che hanno un significato speciale in HTML (come <e &) in entità di testo semplice (cioè <e &rispettivamente) che li renderanno letteralmente (non interpretati come HTML) quando quella stringa che viene quindi visualizzata come parte di una pagina con HTML markup. La funzione filter_xss()filtra una stringa HTML per prevenire vulnerabilità cross-site-scripting (XSS). Fa quattro cose:

• Rimozione di personaggi e costrutti che possono ingannare i browser
• Assicurarsi che tutte le entità HTML siano ben formate
• Assicurarsi che tutti i tag e gli attributi HTML siano ben formati
• Assicurarsi che nessun tag HTML contenga URL con un protocollo non consentito (ad es. Javascript :)

Entrambe le funzioni vengono utilizzate per disinfettare i dati dagli utenti per assicurarsi che qualsiasi iniezione da parte dell'utente sia neutralizzata prima che i dati vengano visualizzati sul tuo sito.

Non passare mai la stessa stringa attraverso entrambi .

Se si utilizza check_plain(), si suppone che la stringa passata alla funzione sia utilizzata come testo normale (non HTML). Quindi filter_xss()non è necessario, poiché check_plain()renderà sempre la stringa di testo semplice.

Se lo usi filter_xss(), la stringa passata alla funzione dovrebbe essere HTML e check_plain()la rovinerà.

Quando guardo il modello che usi come esempio, mi sembra che tutti e tre i campi passati print()provengano da contenuti che sono già disinfettati e non necessitano più di servizi igienico-sanitari.

Tuttavia, se si crea il proprio modulo che raccoglie l'input dell'utente senza passare attraverso un filtro di testo "sicuro" come "HTML filtrato" o "Semplice", è necessario utilizzare queste funzioni a fini di risanamento.