können html entitys eine gefahr sein?

[Gerard]

wenn ich ein neuen tag einführer &; der z.b. aus & & macht so das der user ein & sieht, welche gefahren entstehen dadurch?

[Bashar]

[e]amp;<tag severity="very evil" effect="desastrous">&amp[/e]

[Gerard]

auch wenn die funktion so aussieht?

function entity($code)
{
    return '&'.htmlspecialchars($code).';';
}

[flenders]

Außer dass eben evtl. üngültige Entities rauskommen sehe ich da eigentlich kein Sicherheitsproblem

[Henno]

return '&'.htmlspecialchars($code).';';

Ist das & und das ; dann nicht doppelt?

[Bashar]

nö, $code wär ja in dem Moment z.B. "amp", also das was zwischen den E-tags stand.

[Henno]

Ach so, ich dachte $code wäre das Sonderzeichen!