Check ob Kommentare HTML enthalten?

Ich hätte Dir ja geantwortet, nur habe ich mich bisher nicht mit den Kommentaren beschäftigt und somit weiß ich nicht genau, was da WP von sich aus bereits filtert. Einiges wird zumindest bereits gefiltert und eigentlich sollten da nur diese erlaubten HTML-Tags durchschlüpfen, die bei den Standard-Themes unter den Formularen aufgeführt werden. Oder irre ich mich?

Wenn Du noch mehr möchtest, würde ich eventuell die Umkehrung wählen und nur erlaubte Zeichen durchlassen.

[^a-zA-ZäöüÄÖÜß0-9.,:;!?\s+_-]

Andere Aufgabe, gleiches Prinzip, weil mir die Suche zu lasch filterte:

http://www.coder-welten.com/wp-sucheingabe…tzlich-filtern/

BBCode geht natürlich auch, würde ich jedoch eventuell nur dort benutzen, wo Formatierungen im Text nicht fehlen dürfen. Wenn Du es so schreibst (.*?), so würde der Punkt in der Klammer zum Metazeichen für beliebige Zeichen und somit auch für spitze Klammern stehen, womit die wieder durchrutschen könnten.

Was ich mit dem verlinkten Beispiel meinte, es genügt, wenn bei unerlaubten Eingaben ein Hinweis wie 'Wie bitte?' ausgegeben wird. Es ist nicht erforderlich, nun genau darauf hinzuweisen, was falsch gemacht wurde oder welche unerlaubten Zeichen benutzt wurden. Wer Fehler genau angezeigt bekommt, der könnte versuchen diese zu umgehen.

Habe mich mal kurz durchgewurschtelt, meiner Meinung nach könntest Du da direkt in der wp-comments-post.php im Hauptverzeichnis angreifen und die $comment_content überprüfen und bei Fehlern mit wp_die einen Hinweis ausgeben.

Kann es ja mal probieren, ob ich da ein schnelles Beispiel fertig bekomme, ohne dass es mit einer weißen Seite endet. Den ganzen Tag wollte ich mich heute jedoch nicht daran aufhalten. Vielleicht klappt es ja. Sicher gibt es auch Plugin-Lösungen oder Lösungen für die functions.php, doch ehe ich mich da wieder durchgewurstelt hätte, würde einige Zeit beanspruchen.

Hat unter Localhost funktioniert!

Ist aber wie gesagt nur ein schnelles Beispiel, welches noch richtig ausgebaut werden könnte. Oberhalb von den Rauten ist der Original-Code aus der wp-comments-post.php, zwischen den Rauten mein Testcode.

$comment_author       = ( isset($_POST['author']) )  ? trim(strip_tags($_POST['author'])) : null;
$comment_author_email = ( isset($_POST['email']) )   ? trim($_POST['email']) : null;
$comment_author_url   = ( isset($_POST['url']) )     ? trim($_POST['url']) : null;
$comment_content      = ( isset($_POST['comment']) ) ? trim($_POST['comment']) : null;
################################################
$suchenach  = "<";


if ((strpos($comment_content, $suchenach)) !== false) {
    wp_die(__("<strong>Fehler</strong>: Im Kommentar ist ein unerlaubtes Zeichen enthalten!"));
}
################################################

Wird hier leider nur wieder mit Zeilenumbrüchen angezeigt, die so nicht vorhanden sind.

Also, in der wp-comments-post.php bei Version 3.6 ab Zeile 54 einfügen, über der Zeile:

// If the user is logged in

Bei den Tests unter Localhost funktionierte es zumindest. Wichtig ist dabei, dass die Datei auch als UTF-8 ohne BOM gespeichert wird, sonst erhältst Du Matsch bei den Umlauten.

/*--- Ein Filter fuer Kommentare ---*/


$filterecc = preg_replace("/[^a-zäöüÄÖÜß0-9.,:;!?\s+_-]/i", "", $comment_content);
$stringl_1 = strlen($comment_content);
$stringl_2 = strlen($filterecc);


if ($stringl_1 > $stringl_2) {


    $stringl_rest = $stringl_1 - $stringl_2;


    if ($stringl_rest == 1) {
        wp_die(__("<strong>Fehler</strong>:
        Im Kommentar ist ein unerlaubtes Zeichen enthalten!"));
    }
    if ($stringl_rest > 1) {
        wp_die(__("<strong>Fehler</strong>:
        Im Kommentar sind ".$stringl_rest." unerlaubte Zeichen enthalten!"));
    }
}
/*--- Ende des Filters fuer Kommentare ---*/


// If the user is logged in

Und nun fehlt eigentlich nur noch formateins oder ein anderer, der einen Tipp geben könnte, wie Du das über eine Funktion in der functions.php oder als Plugin regeln könntest. Doch so geht es halt auch.

Mir ist noch eingefallen, ich hatte das nur mit einem Einzeiler getestet, da ein Kommentar aber länger ist, es könnte sein, dass außer dem i hinter / noch ein s als Modifier benötigt wird. Schreibe da mal lieber ]/is" am Ende des Musters.

Dass Du von diese Datei vorher eine Kopie beiseite legst, die Du notfalls gleich wieder per FTP hochschieben kannst, wirst Du wohl nicht vergessen.