htmlentitiesに変換せずにユーザー入力を消化する

Question

検索クエリのユーザー入力をサニタイズし、ユーザーが&と入力すると、&に変換されません。また、ユーザーが&と入力すると変換されません。 〜&？

Answer 1

MySQLデータベースを照会している場合は、私がmysql_real_escape_string()機能をお勧めします。私はあなたがあまりにも多くの問題を抱えてはならないとは思わない。文字はいつでも元に戻すことができますが、照会の際にデータベースのサニタイズを確実にする必要があります。

Answer 2

<?php 

$user = $_POST['username']; 
$pwd = $_POST['password']; 

// escape username and password for use in SQL 
$user = mysql_real_escape_string($user); 
$pwd = mysql_real_escape_string($pwd); 

$sql = "SELECT * FROM users WHERE 
user='" . $user . "' AND password='" . $pwd . "'" 

// more code 

mysql_close($con); 
?> 

Answer 3

* use `mysql_real_escape_string()` 
* Use `strip_tags()` to filter out unwanted HTML 
* Escape all other output with `htmlspecialchars()`