4

Estou criando uma função bbcode para um blog que estou fazendo e queria saber se é possível (e seguro) eu inserir códigos Javascript dentro do meu banco de dados.

Estou trabalhando com MySql.

Outra questão, não consigo inserir aspas simples (que estão dentro do textarea) dentro do banco de dados.

Esse é o código que estou usando para inserção

$sql="INSERT INTO artigo values";
$sql.="('null','".$titulo."','".$mensagem."', NOW())";
5
  • 1
    Por que você não usa arquivos .js mesmo?
    – J. Bruni
    Commented 9/02/2014 às 15:41
  • Resolvi, tratrando a string dessa forma: $mensagem_escape = str_replace("'", "\'", $mensagem);
    – Odair
    Commented 9/02/2014 às 16:02
  • 2
    @Odair Use mysql_real_escape_string em vez de str_replace php.net/manual/pt_BR/function.mysql-real-escape-string.php Commented 9/02/2014 às 17:51
  • 1
    Valeu @EmersonRochaLuiz vou alterar aqui, muito obrigado pela ajuda!
    – Odair
    Commented 9/02/2014 às 17:54
  • costumo colocar no BD em formato de encode de base64 os codigos de linguagens...
    – user4569
    Commented 9/02/2014 às 22:18

2 Respostas 2

3

A resposta disso depende. Se seguro para seu banco de dados, ou se seguro para sua aplicação.

Banco de dados: principal ataque SQL Injection

Se você escapar caracteres e remover códigos que poderiam causar um SQL Injection, será seguro para seu banco de dados.

Todas as linguagens que trabalha com banco de dados oferecem recursos para evitar esse tipo de ataque. Leia a respeito da sua linguagem para saber mais. Não é complexo evitar esse tipo de ataque.

Aplicação: principal ataque Cross-site scripting (XSS) persistente

Essa pergunta é bem complexa e depende de muita experiência com navegadores e forma de como uma falha pode ser explorada. Se você não sabe exatamente o que está fazendo. Há uma chance enorme de uma falha poder ser explorada, pois você pode permitir um código javascript para fazer algo inofensivo, mas as pessoas usarem para roubar os cookies de alguém que está visualizando a página ande o código javascript delas está disponível, e o código poderia enviar os cookies para outros sites. Esse é so um dos exemplos. Mas existem muitos outros.

É complexo, senão impossível, evitar esse tipo de ataque. Somente usuários confiáveis deveria permitir inserir javascript sem uma validação pesada.

Recomendo fortemente a qualquer pessoa interessada ver o vídeo Douglas Crockford: Principles of Security que explica o quão complicado é isso e dá uma idéia de como evitar.

Visão geral

A não ser que tenha motivos fortes para fazer isso e saiba as implicações, ou confie fortemente em quem vai inserir o código javascript, não faça isso. Por padrão CMSs, como Joomla e Wordpress não permitem inserir javascript, mas há meios de permitir que javascript seja inserido nos artigos, mas é a pessoa que administra o CMS é que decide habilitar isso.

1
  • Cara, valeu pelo feedback! Serei eu mesmo que incluirei os .js no banco de dados, então é seguro! haha Valeu mesmo.
    – Odair
    Commented 9/02/2014 às 15:40
3

1. Sim, é possível.

Código JavaScript é somente texto. Tecnicamente, não tem problema nenhum armazenar no banco de dados. Se é recomendável ou se é a melhor solução, é outra questão.

2. É seguro? Depende.

Depende completamente da utilização que você pretende dar a esse código. De onde ele vem, para onde ele vai, e como ele é utilizado.

No banco de dados, não há ambiente de execução do JavaScript. É seguro. Como dito acima, é apenas mais uma string de texto. Você precisará tomar as precauções comuns a qualquer outro conteúdo de texto, notadamente o escape, evitando vulnerabilidades que independem do texto ser "código JavaScript" ou qualquer outro tipo de texto.

Já na aplicação, depende muito, variando de um extremo a outro: conforme a utilização pode ser perigoso ou seguro.

Para analisar, é preciso começar considerando: Como você pretende usar esse código? Quem poderá abastecer o banco com esse código?

O perigo de usar código de JavaScript gerado pelo usuário é que um usuário mal-intencionado pode facilmente programar para que uma requisição HTTP seja feita, disparando outras funções de sua aplicação (por exemplo, simular o efeito de um clique em "Curtir", enviar o cookie de autenticação para um servidor remoto, et cetera).

3
  • Certo, muito obrigado pelo feedback, estou tentando inserir mas não consigo, não insere a parte do código javascript pq?
    – Odair
    Commented 9/02/2014 às 15:30
  • 1
    Odair, só dá para responder se você colocar o código que não está funcionando na pergunta. Edite sua pergunta, e inclua o código PHP que você está usando para tentar inserir no banco de dados. Provavelmente está faltando fazer um escape na string que contém o código.
    – J. Bruni
    Commented 9/02/2014 às 15:37
  • 1
    Certo @J.Bruni muito obrigado pelo feedback, identifiquei o problema que me impedia de inserir, era as aspas simples no meu bbcode. Mas como faz esse escape? Ah eu editei a pergunta, como vc recomendou! :D
    – Odair
    Commented 9/02/2014 às 15:41

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .