3 /***************************************************************************\
4 * SPIP, Systeme de publication pour l'internet *
6 * Copyright (c) 2001-2014 *
7 * Arnaud Martin, Antoine Pitrou, Philippe Riviere, Emmanuel Saint-James *
9 * Ce programme est un logiciel libre distribue sous licence GNU/GPL. *
10 * Pour plus de details voir le fichier COPYING.txt ou l'aide en ligne. *
11 \***************************************************************************/
13 if (!defined('_ECRIRE_INC_VERSION')) return;
15 include_spip('inc/texte_mini');
16 include_spip('inc/lien');
18 /*************************************************************************************************************************
19 * Fonctions inutilisees en dehors de inc/texte
23 // Raccourcis dependant du sens de la langue
24 function definir_raccourcis_alineas(){
32 // http://doc.spip.org/@traiter_tableau
33 function traiter_tableau($bloc) {
39 // Traitement des listes (merci a Michael Parienti)
41 // http://doc.spip.org/@traiter_listes
42 function traiter_listes ($texte) {
46 // Nettoie un texte, traite les raccourcis autre qu'URL, la typo, etc.
47 // http://doc.spip.org/@traiter_raccourcis
48 function traiter_raccourcis($letexte) {
50 // Appeler les fonctions de pre_traitement
51 $letexte = pipeline('pre_propre', $letexte);
53 // APPELER ICI UN PIPELINE traiter_raccourcis ?
54 // $letexte = pipeline('traiter_raccourcis', $letexte);
56 // Appeler les fonctions de post-traitement
57 $letexte = pipeline('post_propre', $letexte);
62 /*************************************************************************************************************************
63 * Fonctions utilisees en dehors de inc/texte
66 // afficher joliment les <script>
67 // http://doc.spip.org/@echappe_js
68 function echappe_js($t,$class=' class="echappe-js"') {
69 if (preg_match_all(',<script.*?($|</script.),isS', $t, $r, PREG_SET_ORDER
))
71 $t = str_replace($regs[0],
72 "<code$class>".nl2br(spip_htmlspecialchars($regs[0])).'</code>',
80 * Empêcher l'exécution de code PHP et JS
82 * Sécurité : empêcher l'exécution de code PHP, en le transformant en joli code
83 * dans l'espace privé. Cette fonction est aussi appelée par propre et typo.
85 * De la même manière, la fonction empêche l'exécution de JS mais selon le mode
86 * de protection déclaré par la globale filtrer_javascript :
87 * - -1 : protection dans l'espace privé et public
88 * - 0 : protection dans l'espace public
89 * - 1 : aucune protection
91 * Il ne faut pas désactiver globalement la fonction dans l'espace privé car elle protège
92 * aussi les balises des squelettes qui ne passent pas forcement par propre ou typo après
93 * si elles sont appelées en direct
100 function interdire_scripts($arg) {
101 // on memorise le resultat sur les arguments non triviaux
102 static $dejavu = array();
104 // Attention, si ce n'est pas une chaine, laisser intact
105 if (!$arg OR !is_string($arg) OR !strstr($arg, '<')) return $arg;
107 if (isset($dejavu[$GLOBALS['filtrer_javascript']][$arg])) return $dejavu[$GLOBALS['filtrer_javascript']][$arg];
109 // echapper les tags asp/php
110 $t = str_replace('<'.'%', '<%', $arg);
113 $t = str_replace('<'.'?', '<?', $t);
115 // echapper le < script language=php >
116 $t = preg_replace(',<(script\b[^>]+\blanguage\b[^\w>]+php\b),UimsS', '<\1', $t);
118 // Pour le js, trois modes : parano (-1), prive (0), ok (1)
119 switch($GLOBALS['filtrer_javascript']) {
129 // pas de <base href /> svp !
130 $t = preg_replace(',<(base\b),iS', '<\1', $t);
132 // Reinserer les echappements des modeles
133 if (defined('_PROTEGE_JS_MODELES'))
134 $t = echappe_retour($t,"javascript"._PROTEGE_JS_MODELES
);
135 if (defined('_PROTEGE_PHP_MODELES'))
136 $t = echappe_retour($t,"php"._PROTEGE_PHP_MODELES
);
138 return $dejavu[$GLOBALS['filtrer_javascript']][$arg] = $t;
141 // Typographie generale
142 // avec protection prealable des balises HTML et SPIP
144 // http://doc.spip.org/@typo
145 function typo($letexte, $echapper=true, $connect=null, $env=array()) {
147 if (!$letexte) return $letexte;
149 // les appels directs a cette fonction depuis le php de l'espace
150 // prive etant historiquement ecrit sans argment $connect
151 // on utilise la presence de celui-ci pour distinguer les cas
152 // ou il faut passer interdire_script explicitement
153 // les appels dans les squelettes (de l'espace prive) fournissant un $connect
154 // ne seront pas perturbes
155 $interdire_script = false;
156 if (is_null($connect)){
158 $interdire_script = true;
159 $env['espace_prive'] = 1;
162 // Echapper les codes <html> etc
164 $letexte = echappe_html($letexte, 'TYPO');
167 // Installer les modeles, notamment images et documents ;
169 // NOTE : propre() ne passe pas par ici mais directement par corriger_typo
172 $letexte = traiter_modeles($mem = $letexte, false, $echapper ?
'TYPO' : '', $connect, null, $env);
173 if ($letexte != $mem) $echapper = true;
176 $letexte = corriger_typo($letexte);
177 $letexte = echapper_faux_tags($letexte);
179 // reintegrer les echappements
181 $letexte = echappe_retour($letexte, 'TYPO');
183 // Dans les appels directs hors squelette, securiser ici aussi
184 if ($interdire_script)
185 $letexte = interdire_scripts($letexte);
187 // Dans l'espace prive on se mefie de tout contenu dangereux
188 // https://core.spip.net/issues/3371
189 if (isset($env['espace_prive']) AND $env['espace_prive']){
190 $letexte = echapper_html_suspect($letexte);
196 // Correcteur typographique
197 define('_TYPO_PROTEGER', "!':;?~%-");
198 define('_TYPO_PROTECTEUR', "\x1\x2\x3\x4\x5\x6\x7\x8");
200 define('_TYPO_BALISE', ",</?[a-z!][^<>]*[".preg_quote(_TYPO_PROTEGER
)."][^<>]*>,imsS");
202 // http://doc.spip.org/@corriger_typo
203 function corriger_typo($letexte, $lang='') {
206 if (!$letexte) return $letexte;
208 $letexte = pipeline('pre_typo', $letexte);
210 // Caracteres de controle "illegaux"
211 $letexte = corriger_caracteres($letexte);
213 // Proteger les caracteres typographiques a l'interieur des tags html
214 if (preg_match_all(_TYPO_BALISE
, $letexte, $regs, PREG_SET_ORDER
)) {
215 foreach ($regs as $reg) {
217 // hack: on transforme les caracteres a proteger en les remplacant
218 // par des caracteres "illegaux". (cf corriger_caracteres())
219 $insert = strtr($insert, _TYPO_PROTEGER
, _TYPO_PROTECTEUR
);
220 $letexte = str_replace($reg[0], $insert, $letexte);
224 // trouver les blocs multi et les traiter a part
225 $letexte = extraire_multi($e = $letexte, $lang, true);
226 $e = ($e === $letexte);
228 // Charger & appliquer les fonctions de typographie
229 $typographie = charger_fonction(lang_typo($lang), 'typographie');
230 $letexte = $typographie($letexte);
232 // Les citations en une autre langue, s'il y a lieu
233 if (!$e) $letexte = echappe_retour($letexte, 'multi');
235 // Retablir les caracteres proteges
236 $letexte = strtr($letexte, _TYPO_PROTECTEUR
, _TYPO_PROTEGER
);
239 $letexte = pipeline('post_typo', $letexte);
241 # un message pour abs_url - on est passe en mode texte
242 $GLOBALS['mode_abs_url'] = 'texte';
251 // Une fonction pour fermer les paragraphes ; on essaie de preserver
252 // des paragraphes indiques a la main dans le texte
253 // (par ex: on ne modifie pas un <p align='center'>)
255 // deuxieme argument : forcer les <p> meme pour un seul paragraphe
257 // http://doc.spip.org/@paragrapher
258 // /!\ appelee dans inc/filtres et public/composer
259 function paragrapher($letexte, $forcer=true) {
263 // Harmonise les retours chariots et mange les paragraphes html
264 // http://doc.spip.org/@traiter_retours_chariots
266 function traiter_retours_chariots($letexte) {
267 $letexte = preg_replace(",\r\n?,S", "\n", $letexte);
268 $letexte = preg_replace(",<p[>[:space:]],iS", "\n\n\\0", $letexte);
269 $letexte = preg_replace(",</p[>[:space:]],iS", "\\0\n\n", $letexte);
274 // Filtre a appliquer aux champs du type #TEXTE*
275 // http://doc.spip.org/@propre
276 function propre($t, $connect=null, $env=array()) {
277 // les appels directs a cette fonction depuis le php de l'espace
278 // prive etant historiquement ecrits sans argment $connect
279 // on utilise la presence de celui-ci pour distinguer les cas
280 // ou il faut passer interdire_script explicitement
281 // les appels dans les squelettes (de l'espace prive) fournissant un $connect
282 // ne seront pas perturbes
283 $interdire_script = false;
284 if (is_null($connect)){
286 $interdire_script = true;
289 if (!$t) return strval($t);
291 $t = echappe_html($t);
292 $t = expanser_liens($t,$connect, $env);
293 $t = traiter_raccourcis($t);
294 $t = echappe_retour_modeles($t, $interdire_script);