Безопасный ввод текста

Как сделать "защиту от дураков и хакеров"?
Есть текстовое поле, которое отправляется на сервер. Какими командами убрать всё HTML тэги, заменить кавычки?
Не отправляйте в поиск, мне не лень, я спрашиваю чтобы ничего не забыть:
Какой функцией заменить одинарные кавычки на ’ ?
Чем отличаются strip_tags от htmlspecialchars, кого лучше использовать?

strip_tags() - убирает html теги
htmlspecialchars() - защита от xss
addslashes(), mysql_escape_string() (или аналог mysqli) - защита от sql иньекции.
Ещё фильтровать строку можно под свои надобности preg_match(), preg_replace()

strip_tags просто удаляет все html теги из строки, просто заменяет их на пустоту, а htmlspecialchars заменяет спец символы на их сущности, который бразер читает как обычные символы и не парсит их, как html страницу, прочитайте описание этих функци, я оставил вверх сылки.

-----
Если вы хотя бы 3-4 раза не решите всё выкинуть и начать заново - вы явно что-то делаете не так.

Спасибо, я так понял, чтобы у меня MYSQL не выдавал ошибку(если в запросе SET text='$text', а переменная $text содержит одинарные кавычки), нужно прописать $text=preg_replace("'", "’", $text); я прав?
(Добавление)
Или можно просто использовать addslashes?

Dazar
лучше mysql_escape_string()

Итого:
Пользователь вводит сообщение, а я его:
$text=$_POST['text']; // получил
$text=strip_tags($text); //убрал теги
$text=mysql_escape_string($text);// защитился от ошибок MySQL

Я ничего не забыл?

0. Понятия не имею в какой кодировке вы получаете тексты, но, на всякий случай, лучше используйте mysql_real_escape_string вместо mysql_escape_string.
1. Обрезайте пришедший текст по длине в пределах, которые ожидаете получить.
2. Не лишним будет проверка на наличие в запросе синтаксиса SQL:

Лишним. И совершенно вредным.

-----
PostgreSQL DBA

Если критично не дергать субд запросами, можно отсечь их фильтрами. Безопасными эти запросы будут и так, но от нагрузки обработчик запросов это не избавит. Потому исправил бы, на "возможно не лишним, в некоторых частных случаях..." .

(Отредактировано автором: 25 Июля, 2012 - 14:06:06)

Определённо, непременно, лишним.
Если у вас конечное количество валидных данных - на этот список и проверяйте.
Если данные чисто текстовые - никакого лишнего изменения оных быть не должно. Безобиднейшие "selection sort", "please, delete this message", "updates available!" с какого-то перепуга получат сообщение о SQL инъекции.

-----
PostgreSQL DBA

Все страницы и база данных в utf-8. А чем отличаются эти функции?

mysql_real_escape_string -- Экранирует специальные символы в строке, используемой в SQL-запросе, принмимая во внимание кодировку соединения.
вот оно что)

слишком все у вас сложно)

просто даня как раз для этого есть функция htmlspecialchars ;)

-----
Чем больше узнаю, тем больше я не знаю.

1ый реплэйс - nl2br
а другие я вообще не понимаю
шило на мыло
и как быть с инъекциями?
(Добавление)
просто даня твой портал еще жив?))
дай ссылку посмотреть))

city.budennovsk.ru
reklamack.ru

другие не дам, те плохо защищены) то есть я там защиту от таких как вы ХАКЕРОВ еще не доделал) лень)
(Добавление)
зачем иметь мозги себе и другим всякими заумными функциями когда можно сделать все это самой простой функцией str_replace))