Не понимаю. Вразумите в чем подвох?

Прочитайте что делает функция htmlspecialchars_decode и htmlspecialchars, которая в смарти escape. То есть сейчас вывод равен {$comment.message} и ничего в этом случае не экранируется, можно спокойно угнать куку, перенаправить на сайт конкурента, крашнуть браузер и т.д.

Sergey T. пишет:

Все разобрался. В файле list.tpl добавил конструкцию

<p class="message"><span class="subTitle">Общие впечатления:</span> {htmlspecialchars_decode($comment.message|escape)}</p>

браво ))) вы хоть понимаете что на сайте дыра размером с арбуз )

Не понимаю. Вразумите в чем подвох?

Все разобрался. В файле list.tpl добавил конструкцию

<p class="message"><span class="subTitle">Общие впечатления:</span> {htmlspecialchars_decode($comment.message|escape)}</p>

браво ))) вы хоть понимаете что на сайте дыра размером с арбуз )

<li>
        <div class="text">
             <div class="caption">Общие впечатления</div>
             <div class="field"><textarea name="message" rows="5">{$comment.message|htmlspecialchars_decode}</textarea></div>
        </div>
</li>

добавил, но кавычки все равно остаются как "в тапочках"!

{$user->getFio()}

2. Как избавиться от "в тапочках" - чтобы отображались обычные кавычки?

{$comment.message|htmlspecialchars_decode}

1. Как кроме имени выводить еще и фамилию авторизованного пользователя в отзывах?
2. Как избавиться от "в тапочках" - чтобы отображались обычные кавычки?