htmlentities로 변환하지 않고 사용자 입력 sanitizing

Question

검색 쿼리에 대한 사용자 입력을 삭제하고 어떻게 데이터를 유지할 수 있습니까? 예를 들어 사용자가 &을 입력하면 &으로 변환되지 않으며 사용자가 &을 입력하면 변환되지 않습니다. ~ &?

Answer 1

MySQL 데이터베이스를 쿼리하는 경우 mysql_real_escape_string() 기능을 사용하는 것이 좋습니다. 나는 너에게 너무 많은 문제가 있다고 생각하지 않는다. 문자는 언제든지 다시 변환 할 수 있지만 쿼리 할 때 데이터베이스에 대한 위생을 보장해야합니다.

Answer 2

<?php 

$user = $_POST['username']; 
$pwd = $_POST['password']; 

// escape username and password for use in SQL 
$user = mysql_real_escape_string($user); 
$pwd = mysql_real_escape_string($pwd); 

$sql = "SELECT * FROM users WHERE 
user='" . $user . "' AND password='" . $pwd . "'" 

// more code 

mysql_close($con); 
?> 

Answer 3

* use `mysql_real_escape_string()` 
* Use `strip_tags()` to filter out unwanted HTML 
* Escape all other output with `htmlspecialchars()`