Eingangsfilter/Wertausgabe escape zf2 richtig?

Question

Sie richtig verstehe ich, dass ich im Hinblick auf smth so entkommen müssen:

<div id="search-box"> 
     <?php $escaper = new Zend\Escaper\Escaper('utf-8'); ?> 
     <input type="text" placeholder="<?php echo $escaper->escapeHtml($this->languageText('TEXT_SEARCH_OUR_SITE',"Search Our Site")); 
     ?>" name="query" id="query" /> 
     <div class="search-box-bk"></div> 
    </div> 

Und wie richtig filtern oder validieren in Controller diese Zeile:

$this->view->phrase = $this->getRequest()->getParam('phrase',''); 

Answer 1

Wie zu entkommen etwas richtig hängt über den Kontext. In Ihrem Beispiel wird die Variable Ausgabe in einem HTML-Attribute, so sollten Sie escapeHtmlAttr verwenden:

<input type="text" placeholder="<?php echo $escaper->escapeHtmlAttr($this->languageText('TEXT_SEARCH_OUR_SITE',"Search Our Site")); 
    ?>" name="query" id="query" /> 

Es gibt ein .

Was Sie in der Steuerung tun müssen, ist die Antwort: wahrscheinlich nichts, aber es hängt davon ab, was Sie "Phrase" für verwenden werden.