Question

大家都知道php有个函数htmlspecialchars 可以拿来防止X-S-S.

那请问使用函数是要在 写入数据库的时候使用,还是在echo 的时候使用就好?
怎样做法会比较安全.
大家都怎做?

Answer 1

这个函数是过滤 ' "" 即 单引号 双引号的

在入库的时候如果不过滤 ' ""这样的东西 php程序员应该能明白有多可怕

htmlspecialchars的作用是把：

& （和号） 成为 &
" （双引号） 成为 "
' （单引号） 成为 '
< （小于） 成为 <
> （大于） 成为 >

输出的时候不需要特殊处理 浏览器 会把这些标签还原的

一般来说使用 mysql_escape_string（） 处理sql语句就可以解决很多问题

不信可以尝试一下

Answer 2

<img src=# onerror=alert(123)>

Answer 3

写入的时候可以不要用，那样可以保留最原始的数据，echo的时候用就好了