HTML oder Code in Formularfeldern -> ein Sicherheitsproblem?

[Christl]

Hallo zusammen,

mal ne Frage, hab mit der Boardsuche nix gefunden auf die schnelle:

Was passiert eigentlich, wenn HTML-Code in ein Textfeld eingegeben wird?

Gut, wenn ich die Eingabe weiterhin als Text behandle, dann nix, aber ich lese meine Eingabe in Sessions ein und gebe die dann mit ASP an verschiedenen Stellen wieder aus. Unter anderem wird eine HTML-Email erzeugt...

Dann werden die HTML-Tags interpretiert.

Sollte ich das unterbinden? Wenn ja: wie? (Text durch eine Schleife schicken, die jedes "<" durch was anderes ersetzt oder löscht? Oder geht das eleganter?)

Was passiert eigentlich, wenn anderer Code eingegeben wird?

[*I C Q*]

Serwas Christl,

Du solltest die Tags auf alle Fälle unterbinden, denn dadurch kann man sich einige unerwünschte Nebeneffekte in's Haus holen, von der Verunstaltung der Mails/Seite bis hin zur Ausnutzung von Sicherheitslücken. Eine Lösung wäre das Ersetzen von HTML-Relevanten Zeichen, wie z.B. < durch ">".

Die simpelste Lösung unter ASP ist dafür IMHO wohl ein replace, es sei denn, ASP bietet Dir eine Funktion ähnlich der strip_tags-Funktion unter PHP, was ich aber nicht weiss.

ICQ

[Christl]

Merci *I C Q*

Ein "strip-Tag"-Pendant hab ich in ASP nicht gefunden, wird wohl das Replace werden....

Irgendwie bin ich heut neben der Kappe......