Laravel 5 Blade Template Motorundaki Problem

keykubad

Merhaba Laravel 5 ile yazdığım ufak bir projede yaşadığım problem ile ilgili sizlerden yardımcı olmanızı istiyorum.Öncelikle problemi düz php strip_tags ile çözdüm ancak bu yeterli değil gibi geldi bana gelelim problemin detayına;

Öncelikle veritabanında kayıtlı olan bir veriyi;

{{ $users->name }} bu şekilde ekrana basıyorum ancak

Özgeçmiş sitesi

Çıktısı bu şekilde geliyor problemi aşmak için;

{{!! $users->name !!}} yapıyorum karakterler düzeliyor ancak bu sefer html kodlar direk ekrana basılıyor ve güvenlik gitmiş oluyor.Sonrasında laravel 5 dokümantasyondan

{{{ $users->name }}} bu şekilde kullanımı denedim yine sonuç aynı oluyor karakterler
Özgeçmiş

Bozuluyor;Son çare olarak yönetici panelinden mysql e kayıt yaparken inputtan gelen değeri

$user ->name =strip_tags(Input::get('name')); bu şekle alıyorum düzeliyor ancak ben düz php işlevleriyle bu işlemi yapmak istemiyorum.Böyle yapacaksak framework kullanmanın ne anlamı var diyorum.Mysql baglantı karakter setlerim
'charset' => 'utf8',
'collation' => 'utf8_unicode_ci',
Laravel default setleri kullandıgım tema ilede alakalı değil bu problemle karşılaşan bir arkadaşımız varmı ?

MURATSPLAT

Tablo karakter setlerinizi kontrol edin. Bu şekilde bir hata olmaması lazım.
mysql erişerek bahsi geçen kolonların karakter kodlamasını kontrol etmeyi deneyebilirsiniz. En azından veritabanında kaynaklanan bir sorun olmadığından emin olursun.

mysql terminalden bağlanarak şu komutla tablonuzdaki kolonlarında karakter kodlamasına bakabilirsiniz.

 SHOW CREATE TABLE tablo_ismi;

keykubad

Merhaba murat bey direk phpmyadminden baktım laravel default karakter setiyle database ve tablolar aynı http://i.hizliresim.com/gkvgV2.png buyrun resmi.Sorun veritabanından değil
<?php echo $user->name; ?> ile ekrana bastıgımdada normal basıyor ama blade sokunca karakterler sapıtıyor.

keykubad

Detay olarak sunu soyleyebilirim html kodların kaynağında;

<ul id="education" class="clearfix">
<li>
<div class="year pull-left">2015</div>
<div class="description pull-right">
<h3>Özgeçmiş</h3>
<p><p>Özgeçmiş deneme yazısı çşçşğğ</p>
</p>
</div>
</li>
</ul>

Boyle geliyor ancak siteye direk baktıgımızda karakterler düzgün.İş kaynak kod kısmında sapıtıyorki bunuda {!! $user->name !!} yapınca düzeltiyor ama {{ $user->name}} yapınca yukarıdaki gibi veriyor.

mgsmus

Öncelikle temizleme işleminden uzak durun.
Validation kullanarak istemediğiniz girişleri engelleyin, temizlemeyi düşünmeyin.
Kompleks girişler için kendi validation kurallarınızı oluşturun, temizleme yoluna gitmeyin.
HTML tutacaksanız HTMLPurifier ile koddan istemediğiniz tag ve attributeleri kaldırın.

keykubad

Arkadaşlar bu problemin blade template html filtrelemesinden kaynaklı bir problem oldugunu düşünüyorum muhtemelen Taylor Otwell bu problemi düşünmemiş ve {!! $user->name !!} düzeltme yolu bu şekilde ekrana basmak oda eğer kötü niyetli biri meta kodu yollarsa filtre edilmediği için site hacklenir.Umarım bir arkadaş bu probleme çözüm üretir.

MURATSPLAT

Html'deki karakter kodlamanın utf-8 mi?
örnek:

 <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />

keykubad

Merhaba Murat Bey evet utf8 charset var hatta html kodların en üstünde bile çektiğimde bu problemi yapıyor.Laravel 5 kurulu bir projenizde deneme yapabilirsiniz.Ne yazikki Taylor Otwell laravel 5 ile gelen blade motoruna müdahale edip bir filtre atmış ama filtre türkçe karakterleri desteklemiyor gibime geldi.

MURATSPLAT

Taylor Otwell bir günahı yok. Tam emin değilim ama sorunun kaynağı @mgsmus belirttiği gibi. Daha önce Angular.Js'de bir projede benzer bir durumda karşılaştım. Sonun aslında html içeriğin veritabanına aktarılmasından kaynaklanıyor. Eğer veritabanında bir kolonda html tagleri var ise bu şekilde bir sorun yaşanır.

Normalde varchar veri tipini kolay kolay html içeriliklerin olduğu stringler kayıt edilmez. Neden dersen @mgsmus uyarılarına bak.

Çözüm getter ve setter methodlarla modeller üzerinde güvenliği sağlayacaksınız. Hem kayıt sırasında hem de kayıta erişirken veriyi kontrol etmekte fayda var. XSS açıklarını önlemek için yazılmış kütüphaneler var, araştırabilirsiniz. Eğer mümkünse html içerikleri hiç kayıt etmeyin. Eğer bu mümkün değilse modele kayıt edilirken ve modelden veri çekerken muhakkak kontrol edin. Bu işi View'de yapmayın. Model üzerinde yapın..

Kolay gelsin..

Roni

htmlentities() kullanılmış olabilir, blade yapısına bakmadım. Bu tür karakterleri bu fonksiyon yapar. htmlspecialchars() kullansalardı bu sorun olmazdı.
Ben blade yapısında bunun olduğunu düşünmüyorum. Siz wysiwyg html editörü kullanıyorsanız ondan kaynaklanıyordur.
echo html_entity_decode('Özgeçmiş'); bu biçimde geri düşüm yapabilirsiniz. Blade echo su yerine <?= ?> kullanın.

keykubad

Merhaba Roni evet dün bayağı bir araştırmadan sonra htmlentities'den katynaklı oldugunu buldum baştada dediğim gibi Taylor Otwell bu durumu hesaplamamış Çünkü aynı sorun 4.2 de yaşanmıyordu.

Bahsettiğiniz çözümü modele uygulayarak denemiştim ancak sonuç aynıydı

html_entity_decode('Özgeçmiş');

wysiwyg editötörü haricinde input verilerindede durum aynı.Yani htmlentities eklemesi işi bozmuş durumda.

MURATSPLAT

Elimde L5 proje yok. Olsa denerdim. Bir proje var onu 1 hafta içinde L5'e taşıyacam eğer gerekli kütüphanelerde sorun yoksa. O zaman deneme yaparım..

cyswdr

bende de aynı sorun war <?php echo olarak kullanıyorum