Безопасный ввод текста

ну у тебя же на все свой взгляд))
дядькам не веришь))
можно причем легко даже в браузере

короче просто так же филтровать и селект через preg_match как и остольные поля в оброботчике формы при регистрации и в личном кабинете? так да??)

я например делаю так валидацыю, но возникла одна проблема, в некоторое текстовые поля надо ввести название или имя в кабычках, то етот метод вводит во базу &quot Название &quot

$value = htmlspecialchars($value);
$value = mysql_real_escape_string($value)
if (get_magic_quotes_gpc()) {$value = stripslashes(trim($value));}
if (!preg_match("|^[0-9]+$|",$str1)) {$error=1;}
if($error==1) {exit('Date validation!!! Try again!');}
// else {SQL запрос на ввод данныx в базу}

И когда експортируеш базу данных в excel остаются &quot вместо двунарных кобычек. Что делат? Да и &quot занимает дополнителное место в varchar полях на базе.

http://php.su/articles/?cat=phpd...;page=010#part_4 часть 4
параметры передаются как переменные и кавычки можно не экранить и не преобразовывать в мнемоники

Ответ касается обоих случаев:
составьте массив допустимых предпологаемых значений (так называемый белый список)
и проверяйте на соответствие при получении.
И конечно же до обработки функцией htmlspecialchars()
Пример:

сылка неоткрываеся

ну придумай что-нибудь))

ехехех
скопируй ссылку и убери редирект

уже разобрался

pvm741, функция htmlspecialchars() используется при выводе:

Да не будет профита от использования prepare statement. Даже наоборот хуже будет. Не для этого они предназначены.(Не совсем для этого ). Вам вполне хватит mysql_real_escape_string().

(Отредактировано автором: 27 Июля, 2012 - 18:41:20)

tuareg а разве экранирование не сохранится при экспорте? а?
и чем хуже будет препаре?

Сейчас еще разик тему прочитаю.

Принцип работы в общих чертах. и разница
Простой запрос. Сервер mySQL получил строку распарсил ее и выполнил.
При препере он парсит строку 2 раза. Сначала при получении и потом при сохранении.
Теперь дальше. Это не страшно когда следом(в этом же соединении) идет аналогичный запрос. Тогда да профит будет особенно если запросов много (цикличный запрос). Но если это только один запрос, то просто трата ресурсов сервера. Причем после окончания соединения (скрипт php отработал), все сохраненные prepare скидываются. Это в общих чертах, мог где-то напутать с терминами.

ну это все понятно но как еще занести кавычки безопасно?
к тому же это предложение для ознакомления
к тому же не думаю что намного напрежется сервер)
пусть тс думает