0

Tengo un formulario con un textarea en el que el usuario puede escribir un contenido, y luego este se graba en una bd, y puede ser visualizado en una vista.

La cuestión es que tengo que visualizarlo con {!! $message !!}, así que el contenido, antes de grabarse, debe ser filtrado para evitar que me metan código malicioso. La pregunta es ¿implementa Laravel alguna clase específica o alguna metodología para esto? ¿O debo filtrarlo "a mano", eliminando, por ejemplo, todo lo que ponga <script o algo que pueda ser una instrucción? ¿Cual es la mejor opción?

2
  • ¿cuál es el motivo por el cuál debes visualizarlo con {!! !!}?
    – Shaz
    Commented el 13 may. 2019 a las 19:47
  • Sobre todo pq como es un textarea, los saltos de línea llegan como \r\n y, para mostrarlos, los convierto con nl2br(). Haciéndolo así, si uso {{ }} los saltos de línea se reflejan como <br> en la salida. En cambio, con {!! !!} aparecen como saltos de línea reales.
    – Laura1995
    Commented el 14 may. 2019 a las 14:00

2 respuestas 2

0

Por la parte de Laravel, lo que yo creo que existe es por la parte de blade. En la visualización, como has hecho con {!! !!}

Sin embargo, eso no te protege de que se guarde en la base de datos etiquetas . Solo al mostrar en la vista.

Para la parte del controlador, antes de guardar en la base de datos, tendrías que ayudarte de funciones como preg_replace, nativa de php...

Fuente: https://www.php.net/manual/es/function.preg-replace.php

Por ejemplo, podrías probar algo así:

$cadena= preg_replace("#<script(.*?)</script>#",'',$texto);  
0

Laravel tiene un helper e(), el cual hace algún filtrado con htmlspecialchars(), puedes ver la documentación en: https://laravel.com/docs/5.8/helpers#method-e

A este método puedes agregarle el uso de nl2br() tal y como lo mencionas, y por último los mostrarías con {!! !!}

En resumen, así sería tu método de visualización para los textarea almacenados:

{!! nl2br(e($message)) !!}

Ya en cuanto al saneamiento de la información antes de almacenarla en la base de datos, no existe ninguna herramienta específica en Laravel, salvo usar alguna expresión regular en la validación que permita filtrar/detectar el código malicioso que pueda ser enviado a través del formulario. De ahí en adelante sería puro PHP para hacer alguna limpieza antes de guardar los datos.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.