Dotaz: admin: seznam povolenych znacek

[Leoš Literák]

Ahoj,

jiste jste si vsimli, ze uz neni mozne pouzivat libovolne HTML znacky v diskusi. Duvodem je ochrana pred XSS (konecne!) plus ochrana zvhledu portalu pred lidmi, kteri nedokazi spravne uzavrit parove znacky.

Nekteri z vas si stezuji, ze ten seznam povolenych znacek je az moc maly. Ze jsme moc restriktivni Snazil jsem se povolit jen ty znacky, ktere jsou bezpecne a jsou bezne pouzivane. Ostatni jsem zakazal. Momentalne podporujeme tyto znacky:

h1, h2, h3, p, div, pre, br, a, b, i, code, ul, ol, li

Rozhodne nebudeme nikdy podporovat script nebo img (aspon ne primo). Tabulky by se sice mohly obcas hodit, ale vetsinou se formatovani da vyresit jinak. A to je jeden z nejdulezitejsich postrehu ohledne seznamu znacek:

jde o obsah, ne o formu

Seznam povolenych znacek by mel postacovat pro slusny vzhled jakehokoliv vaseho obsahu. Pokud jsem presto nekoho nepresvedcil, ma moznost se vyjadrit v teto diskusi. Treba me presvedci a ja pridam jeho oblibenou znacku do seznamu povolenych znacek

Odpovědi

[Vlastimil Ott]

Přidávám se ke 'stížnosti' Yetiho — chci taky tag <em>.

--vo

[jm]

EM, STRONG, CITE

P.S. Jeste me napada, ze by nebylo spatne nejak osetrit nevhodne pouziti tagu PRE, jenom nevim jak.

[Michal Marek (twofish)]

Primlouvam se za ty predchozi + blockquote. A taky by se hodilo, kdyby to tu cervenou hlasku vypsalo nekde nahore, mne trvalo nez jsem ji nasel (a to jsem ji ocekaval).

[Vlastimil Ott]

Bug, nebo feature?

Zakázané tagy nesmějí být ani mezi 'závorkami' <pre>, což činí z uvedení kusu zdrojáku věc pro silné nervy, slabé nátury to vzdají. Nedá se obsah mezi nimi prostě jen zobrazit?

--vo

[Leoš Literák]

Nepamatuji si, zda ma PRE nejaky zvlastni zpusob nakladani se znackami, ale IMHO ne. Takze se IMHO jedna o poruseni HTML, pokud nekdo cpe cizi znacky do PRE. Pokud nekdo v PRE potrebuje zobrazit (ne pouzit) zakazanou znacku, mel by pouzit escapovani pres HTML entity. Napriklad &lt;script&gt; Pak samozrejme kontrola nebude aktivovana, protoze nepujde o HTML znacku, ale o text.

[jm]

Nojo, ale kdo se s tim ma delat? Neslo by to nejak zautomatizovat?

Jeste se vratim k tomu tagu PRE a rozbiti layoutu stranky pri nevhodnem pouziti.

The PRE tag may be used with the optional WIDTH attribute. The WIDTH attribute specifies the maximum number of characters for a line and allows the HTML user agent to select a suitable font and indentation.

Cili pokud by se tam tenhle atribut doplnoval automaticky s nejakou vhodnou hodnotou, tak by se to aspon castecne vyresilo (pokud na nej prohlizece berou nejaky zretel, zatim jsem nezkoumal).

[Leoš Literák]

Resenim by bylo, kdybych zavedl vlastni znackovaci jazyk (viz starsi diskuse). Pak bychom na HTML mohli zapomenout

Jinak ten width atribut jsem neznal. Mrknu na to a nejspise jej povolim. A mozna i zkusim automaticky pridavat s hodnotou maximalne 100 pismen na radek.

Kazdopadne pokud nekdo nahodou tam nestrci par set pismen dlouhy radek, tak PRE uz nenici design, jako to delaval pred rokem a pul.

[Tux]

Ja se primlouvam pro ten znackovaci jazyk. Omezena Twiki syntaxe se mi vazne libila, a je mnohem rychlejsi na pouziti.

[Leoš Literák]

Me by se take libil. A jeste vice by se mi libilo, kdyby jej napsal nekdo jiny nez ja

[Robert Krátký]

To je určitě feature - chová se tak totiž běžné html. Chceš-li používat kdekoliv v html kódu podobné znaky, musíš psát v entitách.

[Vlastimil Ott]

To jsem ale měl na mysli tím, že je to pro silné nátury. To dělat nebudu. Škoda.

--vo

[Leos]

bohuzel jinak to nejde. HTML to IMO vyzaduje.

[Yeti]

%s/&/\&amp;/ge|%s/>/\&gt;/ge|%s/</\&lt;/ge

[Leoš Literák]

Jaky je tedy zaver? mam povolit em, cite, strong, blockquote?

IMHO strong je zbytecny, muzete pouzit b

[jm]

Ano...

[Yeti]

cite moc nepoužívám, ale povolil bych ho; ostatní určitě (já sice vím, že mohu použít b namísto strong, ale musím na to myslet a nepsat sématicky...)

[Leoš Literák]

hotovo

[Yeti]

Chm, používám v diskusi běžně šest tagů: pre, code, a, em, strong, var. Teď jsem narazil na var ;-) Prosím přidat.

(A je vlastně k něčemu ten div? Pokud nemůže mít atribut style, tak znamená jen ,tady je blokový element`, k čemuž postačuje p).

[Leoš Literák]

aha, takze jeste VAR. Ok

mas pravdu, ze DIV je semanticky zbytecny, ale nekdo jej prece muze ze zvyku pouzivat. Povolit atribut style nemuzeme, uz jednou jej nekdo umyslne zneuzil ke zniceni designu.

[Leoš Literák]

pridan VAR i HR, ten kvuli signaturam (patickam) v diskusi.

[Tom.š Ze.le.in]

Ahoj, co definition list (dl/dd/dt)? Standardní značky s obsahovým významem (vs. forma), riziko nevidno...

Sice to nikomu zřejmě nechybělo půl roku, ale stejně se občas hodí.

Díky,

T. Z.

[Leoš Literák]

Diskuse jsou k diskutovani a ne k vytvareni slozitych HTML konstrukci. Bezne potrebujete oddelit odstavce, vlozit odkaz, zvyraznit slovo. Vyber povolenych znacek neni jen o (ne)bezpecnosti znacek. Spise je to o jednoduchosti.

[unchallenger]

Je ten seznam někde jinde než v tomto diskusním threadu? Není-li, neměl by být?

[Tom.š Ze.le.in]

Pokud ano, tak není nalezitelný lépe než tohle vlákno. Možná by bylo fajn k hlášce "Tag XXX není povolen" připojit link sem (nebo na jiné, autoritativní místo).

[Tom.š Ze.le.in]

Vypsat např. seznam alternativ a každou okomentovat (k čemuž je dl ideální) mi přijde jako dost jednoduché. Ok, je to věc názoru, dá se to i jinak, a všichni to zřejmě jinak dělají, takže z mé strany konec vlákna :)

BTW, jen pro připomenutí, seznam html tagů se používá nejen u diskusí.

[Stanislav Brabec]

Možná i <tt> by se hodila (třeba ke zvýraznění příkazu v textu).

[unchallenger]

<code> snad stačí, ne?

[David Jaša]

IMHO se nehodi tagy h1 a h2 - h1 by mel byt vyhrazen pro hlavni nadpis clanku a h2 dalsi cleneni. Cela diskuse (pod clankem, zpravickou i samostatna) by IMHO mela byt uvedena h2 nadpisem, takze v diskusi h3 - h5, diskuse pod uvodni otazkou taktez.

[undz]

Nevim proč povolujete b a zakazujete strong, podle mne by to mělo být naopak. Už z principu jaký tag k čemu slouží, naopak div zde nemá co dělat stejně jako h1 totální kravina, h1 je uníkátní a smí být pouze jednou na stránce!