Nicht erlaubtes HTML in .po für D7 [#1017334]

Hallo, eben habe ich die aktuelle .po heruntergeladen und in eine D7-Installation geladen und bekomme folgende Meldung:

* Aus Sicherheitsgründen wurde die hochgeladene Datei in drupal-7.0.de_.po umbenannt.
* Die Übersetzung wurde erfolgreich importiert. 175 Zeichenketten wurden neu übersetzt, 4322 Zeichenketten aktualisiert und 0 Zeichenketten entfernt.
* 5 Übersetzungen wurden ignoriert, weil diese nicht erlaubtes HTML enthielten.

Ich weiss jetzt aber nicht, welche Übersetzungen das sind, die den Fehler verursachen. Ich nehme nicht an, dass das mit den encoding Einstellungen von Browser oder Webserver zu tun hat, aber beide laufen auf UTF-8. Aber korrektes HTML ist ja eigentlich vom encoding unabhängig.

Falls es irgendwo eine Stelle gibt an der ich das genauer eingrenzen kann sage mir bitte jemand Bescheid. Zumindest im eventlog steht auch nur das: 5 nicht erlaubte HTML Zeichenkette(n) in temporary://drupal-7.0.de_.po

Comments

Comment #1

Thomas_Zahreddin commented 9 January 2011 at 00:41

Issue tags:

+unallowed HTML, +locale_string_is_safe

diese Fehlermeldung kenne ich, die geprüfte Bedingung ist mir klar (hab ich sogar dokumentiert), aber leider wird nicht ausgegeben welche Strings das Problem sind.

D.h. diesen Thread sollten wir für den localization Server öffnen.

Die zuständige Funktion ist wohl locale_string_is_safe() in locale.inc.

Ein Teilbereich des Themas wird auf http://drupal.org/node/352121 diskutiert, trifft aber nicht ganz unser Problem.

Daher hab ich http://drupal.org/node/1020016 eröffnet.

Comment #2

Anonymous (not verified) commented 22 March 2011 at 18:52

Hallo,

es hat nichts mit Encoding zu tun, sondern ist wirklich ungültiges HTML (zumindest im D6, D7 habe ich nicht kontrolliert, vermute aber dasselbe). Beispiel:

Name des neu erstellten Menüs. Der neu erzeugte Block muss in der <href="@blocks">Verwaltungsseite für Blöcke</a> dann noch aktiviert werden.

Richtig wäre <a href="@blocks"> - so ist es auch im Originaltext. Zweites Beispiel:

Die Systemkonfiguration unterstützt diese Funktionalität momentan nicht. Die <a href="http://drupal.org/node/15365"Handbuchseite zu lesbaren URLs</a> enthält Informationen zur Fehlerbehebung.

Richtig wäre: ... 15365">Handbuchseite ...

Comment #3

Thomas_Zahreddin commented 21 May 2011 at 10:00

diese beiden Beispiele sind behoben - gibt es noch weitere Fehler?

Comment #4

x-lette commented 23 May 2011 at 12:34

Beim erneuten Import der .po in D7 sind es immer noch 5 Fehler. Genauere Angaben dazu fehlen nach wie vor.

* Aus Sicherheitsgründen wurde die hochgeladene Datei in drupal-7.0.de_.po umbenannt.
* Die Übersetzung wurde erfolgreich importiert. 15 Zeichenketten wurden neu übersetzt, 4518 Zeichenketten aktualisiert und 0 Zeichenketten entfernt.
* 5 Übersetzungen wurden ignoriert, weil diese nicht erlaubtes HTML enthielten.

Oder ist die Übersetzungsdatei noch nicht aktualisiert?

Edit: hab die Datei von http://localize.drupal.org/translate/downloads geladen.

Comment #5

Anonymous (not verified) commented 31 May 2011 at 12:26

Könnte es sich auch um die Strings "all" und "none" (jeweils in spitzen Klammern) handeln, die in vielen Auswahlfeldern auftauchen und dann mit "Alles" "keine" u.ä (ebenfalls in spitzen Klammern) übersetzt sind?

Sie kommen auch in den Erklärungen vor, z.B. hier (ich ersetze mal die spitzen Klammern mit eckigen) :

"[strong] Hinweis:[/strong] Logintoboggan Modul ist installiert. Wenn Sie einen der benutzerdefinierten Anmelde-Block-Typen verwenden wird empfohlen diese Option auf [em][none][/em] zu stellen."

LG Sabine

Comment #6

Thomas_Zahreddin commented 31 May 2011 at 12:38

siehe http://drupal.org/node/1020016

Comment #7

wusel commented 9 September 2011 at 15:18

Beim Update finde ich folgende Fehler:

4 translation strings were skipped because they contain disallowed HTML.

Disallowed HTML detected. String not imported: Sie können wählen ob Sie E-Mails nur bei Sicherheitsaktualisierungen oder für alle neuen Versionen erhalten möchten. Falls Aktualisierungen für den Drupal-Kern oder für installierte Module und Themes verfügbar sind, wird dies in jedem Fall im <a href=\"@status_report\">Statusbericht</a> angezeigt und falls Sicherheitsaktualisierungen verfügbar sind werden Fehlernachrichten auf allen Administrationsseiten angezeigt.

Disallowed HTML detected. String not imported: Vielen Dank, dass Sie ein Benutzerkonto angefordert haben. Ihr Benutzerkonto muss noch vom Administrator der Website freigeschaltet werden.<br/> In der Zwischenzeit ist eine Willkommens-E-Mail mit weiteren Anweisungen an Ihre E-Mail-Adresse gesendet worden.

Disallowed HTML detected. String not imported: <Versteckt>

Disallowed HTML detected. String not imported: <none>

Ich hoffe, dieses hilft.
Wusel

Comment #8

Thomas_Zahreddin commented 11 September 2011 at 22:27

Um XXS-Angriffe zu vermeiden, werden Strings überprüft und nur diese Tags sind zugelassen:

'a', 'abbr', 'acronym', 'address', 'b', 'bdo', 'big', 'blockquote', 'br', 'caption', 'cite', 'code', 'col', 'colgroup', 'dd', 'del', 'dfn', 'dl', 'dt', 'em', 'h1', 'h2', 'h3', 'h4', 'h5', 'h6', 'hr', 'i', 'ins', 'kbd', 'li', 'ol', 'p', 'pre', 'q', 'samp', 'small', 'span', 'strong', 'sub', 'sup', 'table', 'tbody', 'td', 'tfoot', 'th', 'thead', 'tr', 'tt', 'ul', 'var'

dies stellt die Funktion http://api.drupal.org/api/drupal/includes--locale.inc/function/locale_st... sicher.

Wenn andere Tags im String entdeckt werden, wird der String übersprungen, was zur genannten Fehlermeldung führt.