Bonjour tout le monde,

Comme vous le savez, le lorsque vous envoyez du texte sur le site, le contenu est protégé et le BBcode est transformé en HTML : [b]gras[/b] en <strong>gras</strong>, par exemple.
J'ai la charge de proposer une nouvelle version de cette fonction : c'est le moment pour vous de suggérer de nouvelles balises.

Avancement de la fonction

J'ai publié la v1 (qui est en fait la v2). Si vous voulez la tester, rendez-vous sur cette page et insérez votre BBcode à traduire après le text=.
Les futures versions seront disponibles à la même URL (je changerai juste le fichier main.php).

Voir le code
Si voulez voir le code rajouté un s au fichier ainsi main.php devient main.phps

Fonctions à ajouter

– Listes
– Détections d'URL
– 6 petits détails
Cette liste pourra s'allonger avec vos demandes et idées.

Description des paramètres

Le prototype de la fonction est le suivant :

– Le premier paramètre et le BBcode à traduire.
– Le deuxième paramètre permet d'appeler echo dès que la traduction est terminée, faisant de ces deux appels la même chose :
* Le troisième paramètre est un ensemble de balise (ce sont des clef de l'array $ensemble).

$ensemble possède les clefs "special" ,"init", "forum", "shout" et "all".
– Toutes les fonctions de l'array init sont appelées automatiquement à l'initialisation : elles reçoivent comme seul argument le texte entier (très utile pour les alias et la censure). On pourrait imaginer la même chose pour les optimisations de fin, ie. une clef end.
– special regroupe des fonctions qui ont un prototype spécifique (elles sont utilisées en interne).
Les tableaux suivants seuls peuvent être modifiés :
– forum : Les balises du forum.
– shout: Les balises de la shoutbox.
– all: Un fallback.

Le prototype des fonctions qu'ils contiennent est le suivant :

– $contenu est le texte entre les deux balises ;
– $arg est le texte éventuel placé après le = dans la balise ouvrante
– $debug est utilisé pour du debuggage (sans blague) de la fonction dans son ensemble.

Description du fonctionnement

Lorsqu'on appelle la fonction textesortie(), celle-ci appelle toutes les fonctions du tableau init puis utilise une regex pour capturer un nœud :

Cette regex (un peu compliquée) capture [balise] si et seulement si il existe un [/balise] plus loin et si le contenu délimité valide aussi la regex (d'où le (?R)?), donnant ainsi la plus longue de ces paires.

Si on n'obtient aucun match, alors on on échappe le texte avec htmlentities().
Sinon, on regarde si la balise existe dans notre ensemble, et à défaut dans le groupe all (qui remplit ainsi sont rôle de fallback). Si la balise n'existe pas du tout, on la réassemble avec une fonction du groupe special qui se nomme undefined().

Dans le cas d'une capture, on envoie le texte avant le nœud à textesortie(), on appelle la fonction associée à la balise si elle existe, et on envoie également le texte après le nœud à textesortie().

Protection des données

L'objectif de cette amélioration est de se débarrasser de toutes les XSS et les injections CSS. C'est pourquoi dès que textesortie() ne capture pas de balise, elle échappe avec htmlentities() ; de plus, chaque balise doit vérifier son contenu (ou déléguer la vérification en rappelant textesortie(), comme le fait la balise [b]).


J'ai donc testé chaque balise avec les injections suivantes :

Aucun JavaScript n'a été exécuté. C'est pour ça que vous verrez beaucoup de JavaScript sur la page de la fonction.

Easter eggs

Puisqu'évidemment il en faut, j'en ai mis.
– Si on tente d'injecter du JavaScript dans une image, image aléatoire apparaît.
– Si on tente d'injecter du JavaScript dans une URL, on se fait rediriger vers http://exemple.com.
– J'ai dû en oublié un...