Можно ли не использовать percent‐encoding в ссылках? , Насколько это валидно, нет ли скрытых опасностей типа XSS инъекций, если ссылки добавляются пользователями на форуме?

[S.Eugene]

Можно ли не использовать percent‐encoding в ссылках, т.е. в href писать кириллицей и другими буквенными символами, которые подпадают под \w в регулярных выражениях php? Насколько это валидно, нет ли скрытых опасностей типа XSS инъекций, если ссылки добавляются пользователями на форуме?

Вот пример نشانی_وب

Сообщение отредактировано: S.Eugene - 04.03.15, 07:16

[Serafim]

Как видишь сейчас уже нету, т.е. можно экранировать лишь 5 символов - `\`, `?`, `&`, `#`, `/` (помимо `>`, `<`, `'` и `"`). Но предлагаю посмотреть как конвертируются ссылки, например в медиавики движке - думаю это практически эталон.

[S.Eugene]

Цитата Serafim @ 04.03.15, 09:41

Как видишь сейчас уже нету, т.е. можно экранировать лишь 5 символов - `\`, `?`, `&`, `#`, `/`

А их зачем экранировать? Какая опасность?

[Serafim]

это составляющие url-адреса

Добавлено 05.03.15, 00:18
ещё двоеточие, забыл про него =)

[S.Eugene]

Цитата Serafim @ 05.03.15, 00:17

это составляющие url-адреса

Вы имеете ввиду, их надо экранировать, если надо передать их буквально? Но мой главный вопрос не в этом. Мне все равно, корректные ли данные несет урл. Меня волнует безопасность от XSS и валидность html кода. Короче говоря, какие символы можно разрешать вносить пользователям в тег [url=] ?

Сообщение отредактировано: S.Eugene - 05.03.15, 00:24

[Serafim]

Цитата S.Eugene @ 05.03.15, 00:22

какие символы можно разрешать вносить пользователям в тег [url=] ?

имхо любые, кроме ">". А вообще у пыха и жс есть встроенные функции экранирования, подозреваю что у питонки, рубей и прочих - альтернатива найдётся.

[S.Eugene]

Цитата Serafim @ 05.03.15, 13:03

имхо любые, кроме ">".

Еще как минимум `"`

Если

[url=X] преобразуется в <a href="X">

То

[url=http://ya.ru" OnClick="alert('bad')] преобразуется в

<a href="http://ya.ru" OnClick="alert('bad')">

[Serafim]

Ну да.

Добавлено 05.03.15, 20:13
А чем уже существующие реализации не устраивают, например: https://packagist.org/packages/mjohnson/decoda?

Что за язык кстати? А то я тут привожу в пример похапе...