PHP를 사용하여 텍스트 영역의 아포 스트로피를 MySQL에 전달하는 방법

Question

사용자가 메모를 추가하는 텍스트 영역이 있습니다. 다음 페이지에서 입력 한 내용을 표시하기 위해 $_POST[Comments]을 사용합니다. 돌아가서 입력 된 내용을보고 편집 할 수있는 편집 버튼이 있지만 $_POST[Comments]을 표시하면 아포스트로피까지 표시됩니다.

예 : 원래 입력

: Let's try this.

편집 : 이제 내가 SQL 주입

을 방지하기 위해 다음과 같은 기능을 사용하여 SQL 추가 기능을 수행 할 서버로 통과 할 때 Let

function keepSafe($value) { 
     if (get_magic_quotes_gpc()) { 
      $value = stripslashes($value); 
     } 
     if (!is_numeric($value)) { 
      $value = "'" . mysqli_real_escape_string($value) . "'"; 
     } 
     return $value; 
    } 

다음은 SQL 삽입을 위해 입력 형식을 지정하는 데 사용하는 항목입니다.

$Comments = str_replace("\n","<br />",$_POST['CustComments']); 
    $Comments = keepSafe($_POST['Comments']); 

제출 전에 편집 할 때 노트 섹션에서 모든 아포스트로피를 볼 수 있어야합니다. 그리고 제출할 때 SQL injection이 안전한 코드를 방지하는지 확인하고 싶습니다.

Answer 1

아포스트로피의의 문제 :

당신은 아마 다음과 같이 입력을 사용 : 값이 아포스트로피가있는 경우

가

<input type='text' value='<?php echo $value;?>'/> 

문제는 이런 것을 :

<input type='text' value='Let's play'/> 

변수의 아포스트로피 때문에 값 태그가 종료되었습니다.

는 단순히 ENT_QUOTES에 반드시 htmlspecialchars를 사용하여 해결하려면 :

<?php 
$value = htmlspecialchars("Let's play", ENT_QUOTES); 
?> 
<input type='text' value='<?php echo $value; ?>'/> 

아포스트로피의 인코딩 얻을 및 양식은 SQL 주입에 대해

에서 편집 할 수있을 것입니다 그런 식으로 :이

단순히 사용 mysqli's prepared statements 그리고 괜찮을 것입니다. 또한 XSS로부터 안전하게 지키려면 HTML 출력에 항상 htmlspecialchars 사용자 입력을 입력하십시오. 더 나은 것은 입력을 필요한 것만 필터링하고 필터링 된 입력 만 데이터베이스에 저장하는 것입니다.

Answer 2

사용 htmlspecialchars() 기능 텍스트 영역 태그를 생성 할 때 :

<textarea><?=htmlspecialchars($_POST['Comments'])?></textarea>