Comment échapper / supprimer des caractères spéciaux dans le document LaTeX?

voici du code pour implémenter la réponse Geoff Reedy. Je place ce code dans le domaine public.

<?

$test = "Test characters: # $ % & ~ _ ^ \ { }.";
header( "content-type:text/plain" );
print latexSpecialChars( $test );
exit;

function latexSpecialChars( $string )
{
    $map = array( 
            "#"=>"\#",
            "$"=>"\$",
            "%"=>"\%",
            "&"=>"\&",
            "~"=>"\~{}",
            "_"=>"\_",
            "^"=>"\^{}",
            "\"=>"\textbackslash",
            "{"=>"\{",
            "}"=>"\}",
    );
    return preg_replace( "/([\^\%~\\#$%&_\{\}])/e", "$map['']", $string );
}

en général, atteindre la sécurité uniquement en échappant aux séquences de commandes est difficile à faire sans réduire drastiquement l'expressivité, car il n'y a pas de manière de principe pour distinguer les cs sûrs des cs dangereux: Tex n'est tout simplement pas un langage de programmation assez propre pour permettre cela. Je dirais d'abandonner cette approche en faveur de l'élimination des failles de sécurité.

Veger résumé des trous de sécurité dans le Latex est conforme avec la mienne: c'est à dire, les questions sont de shell s'échappe et la création du fichier.l'écriture, bien qu'il ait manqué une vulnérabilité d'évasion d'obus. D'autres points suivent, puis des recommandations:

1. il ne suffit pas d'éviter d'invoquer activement --shell-escape, car il peut être implicitement activé dans texmf.cnf. Vous devez transmettre explicitement --no-shell-escape pour remplacer texmf.cnf;
2. \write18 est une primitive D'Etex, pas Tex de Knuth. Donc, vous pouvez éviter les Latex qui l'implémentent (qui, malheureusement, est la plupart des eux);
3. si vous utilisez des Dvips, il y a un autre risque:\special commandes peuvent créer .les fichiers dvi qui demandent à dvips d'exécuter des commandes shell. Vous devez donc, si vous utilisez des dvips, passer le -R2 commande pour interdire l'invocation de commandes shell;
4. texmf.cnf vous permet de spécifier où Tex peut créer des fichiers;
5. vous pourriez ne pas être en mesure d'éviter de désactiver la création de polices si vous voulez que vos clients disposent de beaucoup de liberté pour créer des polices. Jetez un oeil à les notes sur la sécurité pour Kpathsea; le comportement par défaut me semble raisonnable, mais vous pourriez avoir un par utilisateur arborescence de police, pour empêcher un utilisateur de marcher sur une autre utilisateurs orteils.

Options:

1. Sandbox invocations en Latex de votre client, et leur permettre la liberté de mal se conduire dans le bac à sable;
2. faites confiance aux valeurs par défaut de kpathsea, et interdisez à shell de s'échapper dans latex et tout autre exécutable utilisé pour construire le PDF de sortie;
3. réduisez drastiquement l'expressivité, en interdisant à vos clients la possibilité de créer des fichiers de police ou de nouveaux fichiers spécifiés par le client. Exécutez latex comme un processus qui ne peut écrire que dans certains fichiers existants;
4. vous pouvez créer un fichier de format dans lequel le \write18 cs, et la création de fichier css, ne sont pas liés, et seules les macros qui les invoquent en toute sécurité, comme pour la création de police/toc/bbl, existent. Cela signifie que vous devez décider quelles fonctionnalités vos clients ont: ils ne seraient pas en mesure de choisir librement les paquets qu'ils importent, mais ils doivent faire usage des choix que vous leur avez imposés. Selon le type de 'templates' que vous avez en tête, cela pourrait être une bonne option, permettant l'utilisation de paquets qui utilisent des échappées de shell, mais vous devrez auditer le code TeX/Latex qui va dans votre fichier de format.

Postscript

Il y a un Remorqueur article, côté Serveur la génération de fichier PDF basé sur LATEX modèles, en adressant une autre question à celle que j'ai posée, à savoir générer des fichiers PDF à partir de l'entrée de formulaire en utilisant Latex.

Selon http://www.tug.org/tutorials/latex2e/Special_Characters.html les caractères spéciaux en latex sont # $ % & ~ _ ^ \ { }. La plupart peuvent être échappés avec un simple backslash mais _^ et \ besoin d'un traitement spécial.

Pour caret utiliser \^{} (ou \textasciicircum), pour tilde utiliser \~{} (ou \textasciitilde) et pour les antislash\textbackslash

si vous voulez que les entrées de l'utilisateur apparaissent comme du texte de machine à écrire, il y a aussi le \verb commande qui peut être utilisé comme \verb+asdf$$&\~^+, le + peut être n'importe quel caractère, mais ne peut pas être dans le texte.

Vous voudrez probablement vous assurer que votre \write18 est désactivé.

voir http://www.fceia.unr.edu.ar/lcc/cdrom/Instalaciones/LaTex/MiKTex/doc/ch04s08.html et http://www.texdev.net/2009/10/06/what-does-write18-mean/