htmlspecialchars()

[klierik]

Доброго времени суток.

Устанавливая некоторый плагин для Magento в доке было указано использовать функцию htmlspecialchars() но не было показано как именно

Такой вопрос: как правильно использовать эту функцию для того что бы в БД попали безопасные данные?

[andyarus]

может это поможет

а так, такие вопросы, наверн, лучше гуглу задавать.

[Быколай]

Такой вопрос: как правильно использовать эту функцию для того что бы в БД попали безопасные данные?

если вы сформулировали вопрос верно, и именно речь идёт о безопасности данных при записи в БД под-MySQL движком, стоит использовать mysql_real_escape_string().

Я это делаю общедоступным в проекте методе класса со всякими утилитами:

	/**
	 * слэшит и тримит рекурсивно массив
	 */
	function cleanUserData($userArr = array())
	{
		$cleanArr = array();
		foreach ($userArr as $key => $val)
			if(is_array($val))
				$cleanArr[$key] = $this->cleanUserData($val);
			else 
				$cleanArr[$key] = mysql_real_escape_string(trim($val));

		return $cleanArr;
	}

плюс стоит инициализировать переменные в нужно типе перед записью их значений в базу.

типа

$post = $utils->cleanUserData($_POST);
			$query = "INSERT INTO `".PREFIX."users_levels`
									SET 
									`id` = ".(int) $post['id'].", 
									`title` = '".$post['title']."', 
									`name` = '".$post['name']."',
									`description` = '".$post['description']."' 
									";

			$id = $mysql->exec($query, 1);

преимущества функции mysql_real_escape_string тут расписывать не буду, можно в сети аргументы нагуглить.

Edited May 7, 2011 by Быколай

[klierik]

andyarus,

веришь, я сюда отписал после гугла. далёк я от пхп =(

Быколай, благодарю за потраченное время на ответ.

я не понял твоего поста. у меня есть в разметке темплента:

<form ... >
...
 <textarea ...?></textarea>
...
</form>

при нажатии на submit форма отправляет данные на сервер.

в общем всё логично.

Как я понял, так htmlspecialchars() работает как раз на выходе. то если нужно эти данные вывести где-то в разметке, то они прогоняются через эту функцию.

Но, это приходится делать каждый раз.

Собственно вопрос: реально ли вообще что бы данные поступали в БД уже отфильтрованные и безопастные (ну что бы на выходе каждый раз при запросе не запускать htmlspecialchars()) ?

ЗЫ: я буду очень благодарен за приземленный ответ для разработчика которые далек от терминологии php

[Int]

Можешь сделать и так, но тогда функция редактирования данных становится сложнее. А в чём проблема один раз в жизни написать функцию для вывода данных и забыть о ней? Или это такая забота о сервере?

[klierik]

та просто интересно.

ведь не логично постоянно запускать одну и туже функцию на выходе, если можно сделать сразу единоразово на вводе данных.

[Int]

Увеличивается объём данных, усложняется редактирование

[klierik]

понятно.

спасибо за инфу.