search

uspdev / chamados

sistema para atendimento de chamados por filas
23 stars 30 forks source link

comentário de chamado injetando html #344

Open wgnann opened 2 years ago

wgnann commented 2 years ago

Colocar algum html no comentário como, por exemplo,

<meta http-equiv="Refresh" content="1;url='https://www.youtube.com/watch?v=oHg5SJYRHA0'">

faz com que o comentário, na hora de ser aberto, seja processado como HTML.

O ideal seria tratar/sanitizar(?) o texto na hora de ser exibido.

Além disso, parece que existe algum excerto de código que transforma texto de link (e.g. https://www.youtube.com/watch?v=oHg5SJYRHA0) em link em HTML (e.g. <a href="https://www.youtube.com/watch?v=oHg5SJYRHA0">https://www.youtube.com/watch?v=oHg5SJYRHA0</a>). Não sei se é uma boa prática tratar o texto antes de ir para o banco.

wgnann commented 2 years ago

Aliás, nessa mesma esteira, o campo descrição fica vazio se for preenchido com tags HTML.

wgnann commented 2 years ago

acho que é só usar o e() aqui: https://github.com/uspdev/chamados/blob/42349e6b566024d111e4efcfda938ad5052f1fb8/resources/views/chamados/show/card-comentarios-user.blade.php#L24

masakik commented 7 months ago

Ao invés de substituir na inserção do texto pensei em substituir somente na renderização. Menos invasivo.