htmlspecialchars в PHP

Question

Может кто-то помочь мне добавлять htmlspecialchars, чтобы предотвратить XSS в этом коде:

<?PHP 
    if(isset($_POST['update'])) { 
     $ts=$_POST['ts']; 
     $user=$_POST['user']; 

     mysql_query("UPDATE users SET block_newfriends='". mysql_real_escape_string($ts). "' WHERE username='" .mysql_real_escape_string($user) . "'"); 
     echo '<div class="rounded-container">'; 
     echo '<div class="rounded-green rounded-done">'; 
     echo '<b>reload</b><br>'; 
     echo '</div>'; 
     echo '</div>'; 
    } 
?> 

Я не знаю, куда девать их, он должен быть в функции POST права?

Answer 1

Заменить $ ц и строку $ с пользователем:

$ts=htmlspecialchars($_POST['ts']); 
$user=htmlspecialchars($_POST['user']); 

Затем оставьте запрос в покое, он будет использовать mysql_real_escape_string() на htmlspecialchars раздел значение.

Answer 2

Вы должны сделать его безопасным, используя различные функции в зависимости от того, что вы хотите сделать:

При выводе в формате HTML, сделать его «HTML безопасный», обернув в htmlspecialchars.

echo 'Writing to browser ' . htmlspecialchars($_POST['t']); 

При выводе на SQL, сделать его "SQL-безопасным", убегая его для SQL (смотрите примечание ниже).

$sql = 'UPDATE table SET field="' . mysql_escape_string($_POST['t']); 

Когда вы выводите URL-адрес, сделайте его «безопасным по URL-адресу», удалив его для URL-адресов.

$link = 'http:/example.com?value=' . urlencode($_POST['t']) 

Аналогичные правила применяются для кодирования JSON, вывода на XML и т.д.

---

Примечание по MySql: Вы правильны, чтобы избежать его, но вы используете функции, которые больше не существуют в PHP (вам поэтому используют старую версию PHP). Проверьте mysqli или pdo в руководстве и используйте эти функции.