[Человек-откат]

Доброе время суток!

У меня на PHP сайте установлен редактор ckeditor который создаёт html код для вставки в базу.
Задача: отфильтровать в данном коде всё лишнее и опасное

Делаю так, вырезаю все теги, кроме указанных (iframe не вырезаю)
$str = strip_tags($str, '<br><p><img><a><b><em><strong><i><font><div><tabl e><tr><td><iframe>');

iframe оставляю для вставки видео, но проблема в том, что используя iframe в последствии можно внедрить вредоносный код, как оставить iframe только для видео с youtube?

Пример видео с youtube:
<iframe width="560" height="315" src="https://www.youtube.com/embed/ZAimVTiQ_YI" frameborder="0" allowfullscreen></iframe> ,

но УДАЛИТЬ во всех остальных случаях?

---------- Сообщение добавлено 19:58 ---------- Предыдущее 19:56 ----------

Возможно как-то можно это реализовать при помощи, регулярных выражений...

[buninsan]

да не стоит думаю это делать вообше в целях безопасности в таких случаях большинство cms используют BBCode

[Человек-откат]

почему нет? В моём случае остаются только безопасные теги, нужно только как-то проверить iframe на наличие youtube и тогда не надо будет заморачиваться с BBCode

---------- Сообщение добавлено 20:06 ---------- Предыдущее 20:04 ----------

хотя не знаю, может можно как-то закодировать теги или например java код, чтоб он проскочил мимо функции strip_tags ?

[cOAPerator]

Человек-откат, какой еще strip_tags и JS в базе? обалдели совсем что ли?
перед вставкой в БД для всего mysql_real_escape_string и htmlentities вам в помошь и можете хранить в базе все что хотите
а JS надо в файлах хранить, а не в БД

кто вас учит блять, такую хуйню городить, Попов что ли?

[buninsan]

кто вас учит блять, такую хуйню городить, Попов что ли?

согласен в принципе, но не с выражениями, хотя...

[Человек-откат]

cOAPerator, притормози парнишка,

strip_tags тупо вырезает все лишние теги и оставляет только теги форматирования, далее обрабатываем нужным образом iframe для youtube (контакта итп), что уже собственно было сделано, лишние iframe удаляем, а затем обработка перед вставкой в базу mysql_real_escape_string и htmlentities итд...

И с BBCode заморочки не нужны!

Вот и всё, почему нет?

[cOAPerator]

Человек-откат, ну и зачем столько телодвижений?
если вы так боитесь за безопасность, используйте шорткоды для ссылок на ютуб, что то типа

{https://www.youtube.com/embed/ZAimVTiQ_YI}

а потом регуляркой меняйте перед добавлением туда и при выводе обратно. (и не надо говорить что регулярки долго работают)

заодно мона будет любой плеер обертку нормальный запилить на сайт, для любых видео с любых сервисов.

и еще момент, обрезайте в пути к ролику протокол чтобы получилось

//www.youtube.com/embed/ZAimVTiQ_YI

а то вдруг перейдете на SSL, чтобы потом менять не пришлось во всех роликах