0

Eu sou relativamente iniciante em programação, tenho 17 anos, 2 anos com programação mas sem experiência no mercado de trabalho e recentemente comecei a trabalhar mais ativamente com HTML.

O meu problema é com relação ao fato de que os usuários podem alterar o layout do meu site HTML usando o input. Por exemplo, se eles digitam no campo nome o código <button>Teste</button>, eles conseguem criar um botão com o valor "Teste". Eu gostaria que assim como no GitHub, caso eles tentem fazer isso seja mostrado por extenso o <button>Teste</button> e não criado um botão. Mais abaixo vou mostrar nas imagens de como está e como gostaria que fosse feito.

Já procurei por perguntas no StackOverflow Americano e Brasileiro e em outros fontes mas ainda não achei nada parecido como o que eu procuro. Tentei reproduzir o que eu vi no código fonte dos comentários do Facebook e da Biografia do GitHub mas não deu certo.

MEU SITE

Entrada:

inserir a descrição da imagem aqui

Saída:

inserir a descrição da imagem aqui

Saída (Código da Página):

inserir a descrição da imagem aqui

GITHUB

Entrada:

inserir a descrição da imagem aqui

Saída:

inserir a descrição da imagem aqui

Saída (Código da Página):

inserir a descrição da imagem aqui

Como podem ver, no meu caso foi criado um div, no caso do GitHub foi criado por extenso, apenas como texto. Eu gostaria que o meu modelo ficasse igual ao GitHub, em outras palavras, que o usuário não fosse permitido de alterar o layout do site utilizando input.

Segue o meu código html:

<label for="name" class="txt_settings_text">Nome:</label>
<br>
<!--Essa é a caixa onde o usuário insere o nome (Entrada)-->
<?php echo '<input id="prof_txt_name" type="text" name="name" value="'.$data['userName'].'" maxlength="35">' ?>
<!--Aqui é apenas exibido o texto (Saída)-->
<span id="prof_lbl_name" class="txt_settings_text"><?php echo $data['userName']; ?></span>

Segue a minha query usando MySqli:

        SELECT
            userName,
            userSurname,
            userUsername,
            userEmail,
            userPassword,
            userCountry,
            userGender,
            userPhone,
            userCellphone,
            userBio,
            userPhoto,
            userBackground,
            userRegistertime
        FROM hanabiUser
        WHERE
            userEmail = '".$_SESSION['email']."'

Além das coisas que já citei, tentei:

  • Botar aspas dentro do span;
  • Trocar o span por outras tags como div e p.

Desde já, obrigado a todos que se oferecerem para ajudar!

2
  • Vc tem que "sanitizar" seu input, talvez isso ajude php.docow.com/… e isso tb kevinsmith.io/sanitize-your-inputs
    – hugocsl
    Commented 24/06/2020 às 20:26
  • 1
    A sua resposta me ajudou de certa maneira, eu não sabia sobre isso e isso me ajudou no sentido de que agora posso fazer as minhas consultas e o meu banco mais seguro.
    – Monambike
    Commented 24/06/2020 às 20:56

1 Resposta 1

2

Ao invés de você proibir que o usuário entre com código HTML no seu INPUT, você pode contornar o problema usando a função htmlentities() para escapar todo o conteúdo digitado, por exemplo:

$saida = htmlentities($entrada);
1
  • Obrigado! Resolveu o meu problema!!
    – Monambike
    Commented 24/06/2020 às 20:56

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .