JavaScript: безопасность location

[maxipub]

Насколько безопасна JavaScript запись, выводимая php:

echo 'window.location="'.str_replace('"', '"', $url).'";'

Переменная $url получена от пользователя и более никак не обрабатывается (разве что проверяется начинается ли она с 'http://', если нет, то добавляется)? Сможет ли он всунуть какой-то вредоносный код? (xss и т.д.)?

[Виталий Желтяков]

Выводиться самому пользователю или и остальным. В первом случае безопасно, во втором нет.

[maxipub]

Второй случай.

Можно пример уязвимости, как обезопасить?

[maxipub]

Итак ? . .

[Johnatan]

Всунуть можно только какой-нибудь гадостный линк и дать другому вашему пользователю. Другой пользователь подумает, что это линк на вашу красивую страничку, а сам попадёт на сайт зловреда и получит себе какую-нибудь пакость, а подумает, что это ваш сайт виноват во всём.

[maxipub]

Сообщение от Johnatan

Всунуть можно только какой-нибудь гадостный линк и дать другому вашему пользователю.

А JavaScript и стырить куки, к примеру?

[.OMG]

Сообщение от maxipub

Насколько безопасна JavaScript запись, выводимая php:

echo 'window.location="'.str_replace('"', '"', $url).'";'

Переменная $url получена от пользователя и более никак не обрабатывается (разве что проверяется начинается ли она с 'http://', если нет, то добавляется)? Сможет ли он всунуть какой-то вредоносный код? (xss и т.д.)?

обоже.
а кто ж вам мешает нормально фильтровать?

PHP код:

echo 'window.location=" ' . urlencode(htmlspecialchars((string)$url)) . '"'; 


(string) для того что бы не подсунули массив.
да, кстати, есть еще

PHP код:

header('location: http://aaa/'); 


ну я думаю вы о нем знаете.

[maxipub]

Сообщение от .OMG

кто ж вам мешает нормально фильтровать?

PHP код:

echo 'window.location=" ' . urlencode(htmlspecialchars((string)$url)) . '"'; 


Да ну... http%3A%2F%2Fwww.programmersforum.r u%2Fnewreply.php%3Fdo%3Dnewreply%26 amp%3Bp%3D784858 ?

Сообщение от .OMG

да, кстати, есть еще

PHP код:

header('location: http://aaa/'); 


ну я думаю вы о нем знаете.

А туда что угодно пихать можно? Тоже ж обрабатывать как-то следует...