htmlspecialchars falsche Verwendung?

Question

Hey Leute, schaute auf die PHP-Dokumente und googelte herum, aber keine Freude. Das ist mein Code-Snippet, das htmlspecialchars scheint nicht zu funktionieren, falscher Gebrauch davon?

$query="SELECT * FROM likes"; 
$result=mysql_query($query); 

$num=mysql_numrows($result); 
$liked=htmlspecialchars($liked, ENT_QUOTES); 
$liked=$_POST['liked']; 

$query = "INSERT INTO likes VALUES ('','$name','$liked')"; 

Danke Jungs, James

Answer 1

Du es mit $_POST['liked'] in der unmittelbar folgenden Zeile überschrieben wird. Schalte die zwei Zeilen um. Oder geben Sie einfach die POST var in die Funktion direkt:

$liked=htmlspecialchars($_POST['liked'], ENT_QUOTES); 

Auf jeden Fall sollten Sie mysql_real_escape_string() verwenden werden, um Ihre SQL-Abfrage params zu entkommen. HTML-Escapes nur speichern, wenn Sie die Daten anzeigen möchten.