[gdrcd extreme]messaggi e tag html

[gdrcd extreme]messaggi e tag html postato il 25/04/2009 00:04:20 nel forum programmazione, gdrcd, open source, hosting

salve a tutti, ancora una volta mi trovo a dover fronteggiare un problema che non mi risulta di semplice soluzione, per questo chiedo aiuto a voi luminari del gdrcd.
Ho inserito un sistema di lettere che possono essere inviate anche in forma anonima, per evitare spiacevoli sorprese ho fatto un paio di modifiche qua e là per fare in modo che la mail anonima possa essere riportata ad un master (che potrà leggere il mittente originario). Non so perché da quando ho fatto questa modifica però, qualsiasi lettera invii con allegato il messaggio ricevuto (quindi sia in segnalazione, sia come risposta, anche per lettere non anonime) il risultato è una lettera piena di tag html. Ho provato ad inserire nella sezione di visualizzazione la funzione strip_tags() ma non è servito a niente. Qualche idea?

<div align="center" style="overflow:auto;">
<?
include ("inc/controlloesilio.php");

if ($op=="cancellatutti") {
$MySql = "INSERT INTO BakMessaggi SELECT * FROM Messaggi WHERE Destinatario = '".pars($Login)."'";
mysql_query($MySql);
$MySql = "DELETE From Messaggi WHERE Destinatario = '".pars($Login)."'";
mysql_query($MySql);
echo "<font color=red><b>".htmlspecialchars($par_MessaggiName)." cancellate!</b></font><br><br>";
$MySql="OPTIMIZE TABLE Messaggi";
$Pulisco= mysql_query($MySql) or die(mysql_error);
}

$IDMessaggio = 0 + $IDMessaggio;
if (($IDMessaggio != "") && is_int($IDMessaggio)) {

$MySql = "Select * From Messaggi";
$MySql .= " Where ID = '$IDMessaggio'";
$MySql .= " AND Destinatario = '".pars($Login)."'";

$Result = mysql_query($MySql);

if ($rs = mysql_fetch_array($Result)) {
?>

<table border=0 width="300" cellspacing=0 cellpadding=2>
<form action="nuovomessaggio.php" method="Post">
<input type="hidden" name="Dest" value="<? if($rs['Anonimo']==0){echo($rs['Mittente']);} else{ echo("Anonimo");} ?> ">
<input type="hidden" name="p" value="<?=$p ?> ">
<input type="hidden" name="Ord" value="<?=$Ord ?> ">
<input type="hidden" name="Max" value="<?=$pagemax ?> ">
<input type="hidden" name="IDCanc" value="<?= $rs['ID'] ?> ">
<tr><td colspan=3 align="center"><?= htmlspecialchars($par_MessaggiNameSing) ?> da parte di <b><? if($rs['Anonimo']==0){echo(htmlspecialchars($rs['Mittente']));} else{ echo("Anonimo");} ?> </b></td></tr>
<tr><td colspan=3 align="center">Spedita il <?= formattadata($rs["Spedito"]) ?><br><br> </td></tr>
<tr align="right"><td colspan=3>

<div align=left style="height:120; width:280; overflow: auto;">
<?
$TestoMessaggioF=$rs["Testo"];
$TestoMessaggioF = str_replace(" ", "<br>", $TestoMessaggioF);
$TestoMessaggioF=htmlentities(stripslashes($TestoMessaggioF));
echo($TestoMessaggioF);

?> </div>
</td></tr>
<tr>
<td align="left" colspan="2"><input type="checkbox" Name="allega"> <font color="white">allega <?= htmlspecialchars($par_MessaggiNameSing) ?> originale</font></td>

<td align="right"><input type="button" value="rispondi" onClick="this.form.submit()"></td>
</tr>
</form>

<tr>
<td colspan="1">

<form name="form1" method="post" action="segnala.php">
<div align="center"><font Color="Red">Segnala a:</font>
</div>
<div align="center"> <input name="scrittore" type="text" id="scrittore">
<br>
<input name="mess" type="hidden" id="mess2" value="<font color=white><? $messaggio="</font><br> <b>Testo del messaggio: </b>".strip_tags(htmlentities(stripslashes($rs["Testo"]))); echo(strip_tags(stripslashes($messaggio))); ?>">
<input name="mittente" type="hidden" value="<font color=white><b> <?= htmlspecialchars($rs["Mittente"]) ?></b></font>"> <input name="link" type="hidden" id="link" value="http://www.albadeimiti.org/messaggi.php">
<b><font color="Red">

</font></b>

Commenta la Segnalazione:<br>
<textarea name="CommentoSegnalazione" cols="30" rows="6" id="CommentoSegnalazione"></textarea>
<br> <input type="submit" name="Submit" value="Segnala"> 
</div>
</form>

</td>

</tr>

</table>

<br><br>
<script> parent.presenti.location.href='presenti.php'; </script> <?
}
$MySql = "";
if ($rs["Letto"] == 0) {
$MySql = "UPDATE Messaggi SET Letto = 1 WHERE ID = $IDMessaggio";
}
$rs->close;
mysql_free_result($Result);
if ($MySql != "") {
mysql_query($MySql);
} ?>

</div>

<? }?>

<hr size="1" width="300">
<div align="center">
<a href="nuovomessaggio.php?p=<?= $p ?>&Ord=<?= urlencode($Ord) ?>&Max=<?= $pagemax ?>">Scrivi <?= htmlspecialchars($par_MessaggiNameSing) ?> </a><br>
</div>
<hr size="1" width=300><br>
<div align="center" style="height:320; width:450; overflow:auto;">

<table border=0 cellspacing=0 cellpadding=2 width="350">


<?
$IDCanc = 0 + $IDCanc;
if (($IDCanc != "") && (is_int($IDCanc))) {
$MySql = "INSERT INTO BakMessaggi SELECT * FROM Messaggi WHERE ID = $IDCanc AND Destinatario = '".pars($Login)."'";
mysql_query($MySql);
$MySql = "DELETE From Messaggi WHERE ID = $IDCanc AND Destinatario = '".pars($Login)."'";
mysql_query($MySql);
$MySql="OPTIMIZE TABLE Messaggi";
$Pulisco= mysql_query($MySql) or die(mysql_error);
}

#Impaginazione
$Script = 'messaggi.php';
$RecordPerPage = $pagemax;
$pag = 0 + $p;

$MyQuery = "FROM Messaggi WHERE Destinatario = '".pars($Login)."'";
if ($Ricerca != '') {
$MyQuery .= " AND Testo LIKE '%$Ricerca%'";
}

$Result = mysql_query("SELECT COUNT(*) As Numero $MyQuery");
$rs = mysql_fetch_array($Result);
$MaxRecord = $rs['Numero'];
$rs->close;

$BarraPaginazione .= '<table width=350 cellpadding=1 cellspacing=0 border=0 >';
$BarraPaginazione .= '<tr >';
if ($pag > 0) {
$BarraPaginazione .= '<td align=left width="25%">';
$BarraPaginazione .= '<a href="'.$Script.'?p=0&Ord='.urlencode($Ord) .'&Max='.$pagemax.'"><<< primo</a>';
$BarraPaginazione .= '</td>';
$BarraPaginazione .= '<td align=left width="25%">';
$BarraPaginazione .= '<a href="'.$Script.'?p='.($pag-1).'&Ord='.urlencode($Ord) .'&Max='.$pagemax.'"><< pag. prec.</a>';
$BarraPaginazione .= '</td>';
} else {
$BarraPaginazione .= '<td width="25%"> </td>';
$BarraPaginazione .= '<td width="25%"> </td>';
}
if ((($pag+1)*$RecordPerPage) < $MaxRecord) {
$BarraPaginazione .= '<td align=right width="25%">';
$BarraPaginazione .= '<a href="'.$Script.'?p='.($pag+1).'&Ord='.urlencode($Ord) .'&Max='.$pagemax.'">pag. seg. >></a>';
$BarraPaginazione .= '</td>';
$BarraPaginazione .= '<td align=right width="25%">';
$BarraPaginazione .= '<a href="'.$Script.'?p='.floor($MaxRecord/$RecordPerPage).'&Ord='.urlencode($Ord) .'&Max='.$pagemax.'">ultimo >>></a>';
$BarraPaginazione .= '</td>';
} else {
$BarraPaginazione .= '<td width="25%"> </td>';
$BarraPaginazione .= '<td width="25%"> </td>';
}
$BarraPaginazione .= '</tr>';
$BarraPaginazione .= '<tr><td colspan=4 align=center>pagina '.($pag+1).'/'.(floor($MaxRecord/$RecordPerPage)+1).' - '.$MaxRecord.' '.htmlspecialchars($par_MessaggiName).'</td></tr>';
$BarraPaginazione .= '</table>';

$MySql = "SELECT * $MyQuery";

if ($Ord == 'M') {
$MySql .= " ORDER BY Mittente";
} elseif ($Ord == 'T') {
$MySql .= " ORDER BY Testo";
} else {
$MySql .= " ORDER BY ID DESC";
}
$MySql .= " LIMIT ".($pag*$RecordPerPage).", $RecordPerPage";
$Result = mysql_query($MySql);
$rs = mysql_fetch_array($Result);
if (!($rs)) {
$p = 0;
$pag = 0;
#$pagemax = 0;
?>
<tr>
<td valign="top" align="center" colspan="5">Niente <?= strtoupper(htmlspecialchars($par_MessaggiName)) ?></td>
</tr>

<? }
echo '<tr><td colspan=5 >'.$BarraPaginazione.'</td></tr>';
$Result = mysql_query($MySql);
while ($rs = mysql_fetch_array($Result)) {
?>

<tr >
<td valign="top" align="left" width="30"><? if ($rs["Letto"]==0) { ?><a href="messaggi.php?IDMessaggio=<?= $rs["ID"] ?>&p=<?= $p ?>&Ord=<?= urlencode($Ord) ?>&Max=<?= $pagemax ?>"><img src="img/messaggio.gif" border="0"></a><? } else { ?> <? } ?></td>
<td valign="top" align="left" width="100">
<? if($rs['Anonimo']==0){ ?>
<a href="" onClick="window.open('scheda.php?pg=<?= $rs["Mittente"]?>','ext1','toolbar=0, location=0, directories=0, statusbar=0, status=0, scrollbars=1, resizable=0, copyhistory=0, menuBar=0, width=800, height=600');return(false)"> <font color=white><?= htmlspecialchars($rs["Mittente"]) ?></font></a> <? } else{ ?> <font color="#00CC00"><b>Anonimo</b></font> <? } ?> </td>
<td valign="top" align="left" width="70"><a href="messaggi.php?IDMessaggio=<?= $rs["ID"] ?>&p=<?= $p ?>&Ord=<?= urlencode($Ord) ?>&Max=<?= $pagemax ?>"><?= formattadata($rs["Spedito"]) ?></a></td>
<td valign="top" align="left" width="300"><a href="messaggi.php?IDMessaggio=<?= $rs["ID"] ?>&p=<?= $p ?>&Ord=<?= urlencode($Ord) ?>&Max=<?= $pagemax ?>"><?= preview(htmlentities($rs["Testo"])) ?></a></td>
<td valign="top" align="left" width="50"><a href="messaggi.php?IDCanc=<?= $rs["ID"] ?>&p=<?= $p ?>&Ord=<?= urlencode($Ord) ?>&Max=<?= $pagemax ?>"><font color=red>[X]</font></a></td>
</tr>
<?
}
$rs->close;
mysql_free_result($Result);
echo '<tr><td colspan=5>'.$BarraPaginazione.'</td></tr>';
?>
</table>
</div>
<hr size="1" width=300> <div align="center">
<form><a href="messaggi.php?Ord=<?= urlencode($Ord) ?>&Max=<?= $pagemax ?>"><font color="#FFD700">Aggiorna e torna alle prime </font></a><input size=3 maxlength=3 Name=Max value="<?= $pagemax ?>"><input type=hidden Name=Ord value="<?= $Ord ?>"><input type=submit value="(cambia)"><font color="#FFD700"><?= htmlspecialchars($par_MessaggiName) ?> </font></form>


<hr size=1 width=300>

<form onSubmit="return Conferma();" name=cancellatutti method=post action="messaggi.php?op=cancellatutti"><input type=submit name=cancellatutti value="cancella tutti"></form>

</div>

Se un essere umano lo ha creato, perché non dovrei essere in grado di capirlo?

quota

Pagine → 1

darkside of breakfast

SCRIVI

25/04/2009 01:56:41

innanzitutto ti consiglio di usare htmlentities...
Secondariamente, non avendo letto tutto il codice, posso solo pensare che:
a) passi per htmlspecialchars anche il normale html
b) filtri per due volte (input ed output) il testo inserito e tutti i simbolini si trasformano in entità html.
Potresti riportare un messaggio "tipo" di quelli visualizzati?

Se darkside non va alla montagna...
Darkside va al mare.

http://www.gdr-online.com/readforum.asp?id=131517

quota

zacharia

SCRIVI

25/04/2009 10:33:48 e modificato da zacharia il 25/04/2009 10:35:30

darkside of breakfast ha scritto: innanzitutto ti consiglio di usare htmlentities...
Secondariamente, non avendo letto tutto il codice, posso solo pensare che:
a) passi per htmlspecialchars anche il normale html
b) filtri per due volte (input ed output) il testo inserito e tutti i simbolini si trasformano in entità html.
Potresti riportare un messaggio "tipo" di quelli visualizzati?

se invio segnalazione del messaggio ottengo questo:

<font color=white> Testo del messaggio: Prova<br>Originale da parte di: <font color=white><b> Theodor</b></font><br><br>dsdfdf

se invece rispondo allegando l'originale ottengo questo:

nonono<br><br><i>U.S.P.S.Mail da parte di <b>Theodor</b><br>Spedito il 25/04/2009 09:32<br><font color=white> Testo del messaggio: Prova<br>Originale da parte di: <font color=white><b> Theodor</b></font><br><br>prova</i>

il problema è che vorrei evitare che nel db venisse inserito html, vorrei filtrarlo completamente, ci penserà poi la pagina a formattare il messaggio.
Ma mentre i messaggi normali vengono inseriti correttamente, le segnalazione e gli allegati no.

Se un essere umano lo ha creato, perché non dovrei essere in grado di capirlo?

quota

Discussione seguita da › zacharia

Pagine → 1

Rispondi alla Discussione Aggiungi ai Preferiti Inoltra Discussione Forum Programmazione, GDRCD, Open Source, Hosting Elenco Forum