PHP - Interpretieren vor Ausgabe

[Winkili]

Liebe PSD'ler,

nachdem mir bei meinem letzten Problem super geholfen wurde, möchte ich euch nochmals eine andere PHP-Frage zuwerfen.
Ich hab eine Funktion, die aus dem GET-Array den Wert 'id' ausliest.
Je nach übergebenen Wert wird ein anderes Ergebnis an den Funktionsruf zurückgegeben.

function identifySelectedSite () {
    if(isset ($_GET)) {
        switch ($_GET['id']) {
            case 'start': return file_get_contents('content/start.php');
        break;
    }
}

Ein BasisLayout wird geladen und vor der Ausgabe die Platzhalter mittels 'str_replace' mit dem Ergebnis der Funktion ausgetauscht.

// Ergebnis der Funktion 'identifySelectedSite' wird in Variable geschrieben
$flexibleHTMLSiteContent = identifySelectedSite ();

// BasisLayout wird zum Austausch der Platzhalter geladen
$basicLayout = file_get_contents('layout.html');

// Platzhalter-Array
$placeholders = array('NavigationPlatzhalter', 'ContentPlatzhalter');

// Austausch der Platzhalter mit Variable in der das Ergebnis der Funktion steht
foreach ($placeholders as $value) {
    if($value == 'ContentPlatzhalter') {
        $basicLayout = str_replace($value, $flexibleHTMLSiteContent , $basicLayout);
        
    }
}

Es funktioniert alles was funktionieren soll, leider jedoch wird mein Content nicht von PHP interpretiert sondern nur 'rauskopiert' und wieder eingefügt.

Gibt es eine Möglichkeit, den externen Inhalt erst von PHP interpretieren zu lassen und dann einzufügen? Da später ein Kontaktformular als Inhalt eingesetzt werden soll, ist mir ein eval() aktuell noch zu heikel.

Vielen Dank für eure Tipps.

 

[Duddle]

AW: PHP - Interpretieren vor Ausgabe

Interpretieren = evaluieren = eval()
Mir ist kein anderer Weg bekannt (obwohl in den Kommentaren von eval() scheinbar ein paar selbst gebastelte Alternativen diskutiert werden), um den PHP-Interpreter manuell zu starten.

Was du machen willst ist ja aber eindeutig ein Template-System. Dieses Problem wurde schon gelöst.
Falls du das nur zum Lernen machst / nichts fertiges nutzen willst, könntest du entweder deinen Code anders strukturieren (mit includes usw. statt str_replace arbeiten), oder du könntest dir auch den Code einer kleinen Template-Engine runterladen und studieren. Dort wurde i.d.R. schon recht viel Grips von mehreren Leuten investiert.


Duddle

 

[Winkili]

AW: PHP - Interpretieren vor Ausgabe

Hallo Duddle,

vielen Dank für deine Antwort. Deine Vermutung mit dem TemplateSystem war goldrichtig.
Einen Blick auf den Quellcode eines bereits funktionierenden TemplateSystems werde ich im Verlaufe des heutigen Abend auf alle Fälle werfen. Eventuell kann ich dort den ein oder anderen Tipp mitnehmen.
Was mir immer wieder in den Sinn gekommen ist, ist den einzusetzende Inhalt im Vorfeld schon interpretieren zu lassen.
Dabei bin ich auf die Ausgabepufferung ( ob_start ) gestoßen. So recht funktionieren will dies in meinem kleinen TestSkript jedoch noch nicht.
Eventuell weiß jemand einen Tipp ob oder wie sich der Puffer in meinem Skript einbauen ließe - vielen Dank.

 

[Duddle]

AW: PHP - Interpretieren vor Ausgabe

Was mir immer wieder in den Sinn gekommen ist, ist den einzusetzende Inhalt im Vorfeld schon interpretieren zu lassen.

Es ist letztlich doch egal, wann du den nutzergegebenen Input auswerten lässt - sobald er ausgeführt wird, kann ein Angreifer dies als Vektor nutzen.

Never trust user input.



Duddle