htmlspecialchars in PHP

Question

Kann mir jemand helfen, die htmlspecialchars Zugabe zu verhindern XSS in diesem Code: sie

<?PHP 
    if(isset($_POST['update'])) { 
     $ts=$_POST['ts']; 
     $user=$_POST['user']; 

     mysql_query("UPDATE users SET block_newfriends='". mysql_real_escape_string($ts). "' WHERE username='" .mysql_real_escape_string($user) . "'"); 
     echo '<div class="rounded-container">'; 
     echo '<div class="rounded-green rounded-done">'; 
     echo '<b>reload</b><br>'; 
     echo '</div>'; 
     echo '</div>'; 
    } 
?> 

Ich weiß nicht, wo zu setzen, sollte es in der POST-Funktion sein, oder?

Answer 1

Ersetzen Sie die $ ts und $ user Zeilen mit:

$ts=htmlspecialchars($_POST['ts']); 
$user=htmlspecialchars($_POST['user']); 

dann die Abfrage in Ruhe lassen, es wird dann mysql_real_escape_string() auf den Wert abgezogen htmlspecialchars verwenden.

Answer 2

Sie benötigen, um es sicher verschiedene Funktionen je nachdem, was Sie tun möchten:

Wenn Sie die Ausgabe in HTML, machen es „html-safe“ durch in htmlspecialchars Verpackung.

echo 'Writing to browser ' . htmlspecialchars($_POST['t']); 

Wenn Sie die Ausgabe in SQL, macht es "SQL-safe", indem sie es für SQL entkommen (siehe Hinweis unten).

$sql = 'UPDATE table SET field="' . mysql_escape_string($_POST['t']); 

Wenn Sie Ausgabe an eine URL, machen es "url-safe", indem sie es für Urls zu entkommen.

$link = 'http:/example.com?value=' . urlencode($_POST['t']) 

ähnliche Regeln gelten für JSON-Codierung usw.

---

Hinweis auf mySQL in XML ausgeben: Sie richtig sind, es zu entkommen, aber Sie Funktionen verwenden, die nicht mehr in PHP vorhanden ist (Sie verwenden daher eine alte Version von PHP). Überprüfen Sie mysqli oder pdo im Handbuch und verwenden Sie stattdessen diese Funktionen.