htmlspecialcharsが間違って使用されていますか？

Question

こんにちはみんな、 は、PHPのドキュメントを見て周りにグーグル、しかし喜びはありません。これは私のコードスニペットですが、htmlspecialcharsはうまくいきません。

$query="SELECT * FROM likes"; 
$result=mysql_query($query); 

$num=mysql_numrows($result); 
$liked=htmlspecialchars($liked, ENT_QUOTES); 
$liked=$_POST['liked']; 

$query = "INSERT INTO likes VALUES ('','$name','$liked')"; 

おかげでみんな、 ジェームズ

Answer 1

あなたはすぐに、次の行に$_POST['liked']で上書きされます。 2つの行を切り替えます。それとも、単に直接関数にPOSTのVARを渡す：

$liked=htmlspecialchars($_POST['liked'], ENT_QUOTES); 

はとにかくあなたのSQLクエリのparamsをエスケープするmysql_real_escape_string()を使用する必要があります。 HTMLエスケープは、データを表示しようとしているときにのみ保存します。