Безопасный FormIt

В позапрошлом году, когда я делал себе форму обратной связи с помощью дополнения FormIt, во время тестирования обнаружил интересную фичу (на самом деле потенциальную дыру) — в форме можно указывать теги MODX (чанки, сниппеты, поля). FormIt обрабатывает только HTML теги, а вот MODX теги он пропускает. И проявляется это при использовании хуков email и FormItAutoResponder (автоответчика). Покопавшись в документации и погуглив, я не нашёл базового решения данной проблемы для экранирования тегов MODX. Поэтому просто тупо поставил фильтр esc в чанке email шаблона. Он экранирует квадратные скобки и обратные кавычки. Данное решение меня устроило на 100% и я про это забыл.

Пару дней назад мне через форму обратной связи обратился человек с очень наивным вопросом — можно ли указывать в поле [[*content]] чанки? Вроде вопрос как вопрос. Но через некоторое время меня стало одолевать подозрение, что этот вопрос был с изюминкой. Я продублировал этот вопрос без фильтра и получил старую проблему. В принципе, меня это пугать не должно — фильтр esc отлично отрабатывает. Но появилось одно обстоятельство, о котором я тогда не подумал. Это шаблонизатор Fenom. Когда я разрабатывал форму, я им не пользовался. Но в дальнейшем я на него перешёл, а про форму, конечно, даже и думать забыл. А его-то теги не эскейпятся.

В очередной раз полез в документацию и убедился, что ничего нового по этому поводу там не появилось. Таким образом вся ответственность за обработку данных FormIt перекладывает на разработчика и никаких рекомендаций по этому поводу не даётся.

А проблема-то серьёзная. Если вдруг вы используете хук автоответчика и в шаблоне письма у вас есть тег поля формы (например, «Уважаемый [[+name]]!»), то пользователь может получить любую информацию о системе. Например, тот же префикс таблиц. И происходит этого из-за того, что пользовательские данные передаются в парсер без фильтрации через вызов метода getChunk().

Решений можно придумать несколько. Например, заменять скобки на соответствующие коды. Но я выбрал решение с пользовательским валидатором, который будет разрешать разрешённые и запрещать запрещенные символы. Ибо нефиг в форме обратной связи использовать лишнее. Для этого я создал пару сниппетов. Первый назвал alphaNum:

$result = (bool) preg_match_all('/^[0-9A-Za-zА-Яа-я_\-\s]+$/u', $value);
if (!$result) {
  $validator->addError($key,'Поле заполнено некорректно!');
}
return $result;

Теперь в поле «Имя» можно вводить только цифры, буквы и ещё несколько симоволов.

Для поля «Сообщение» я создал валидатор с паттерном /^[^\{\}\[\]]+$/, который просто запрещает вводить скобки для тегов MODX и Fenom.

Дальше нужно вставить их в вызов FormIt:

[[!FormIt?
    ...
    &customValidators=`alphaNum,noModxTags`  // Нужно их подключить
    &validate=`name:required:minLength=^3^:alphaNum,
               message:required:noModxTags,
               ...` 
]]

Заключение

Может есть уже готовые решения, но я их не нашёл. Да и самому было интересно повелосипедить.

П.С. Не сразу решился про это написать, чтобы не создавать ненужных проблем от всяких школьников-мегахакеров. Но в конце концов решил, что профита от этих знаний больше — предупреждён, значит вооружён.